nuova versione dell'utilità per la ricezione e l'invio di dati tramite rete — , che offre la possibilità di formare richieste in modo flessibile specificando parametri come cookie, user_agent, referer e altri header. cURL supporta HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, Telnet, FTP, LDAP, RTSP, RTMP e altri protocolli di rete. È stato rilasciato anche un aggiornamento della biblioteca libcurl, che fornisce un'API per utilizzare tutte le funzionalità di curl nei programmi in linguaggi come C, Perl, PHP, Python.
Nella nuova versione è stata aggiunta l'opzione "--retry-all-errors" per effettuare tentativi ripetuti di operazioni in caso di errori, e sono state corrette due vulnerabilità:
- consente la sovrascrittura di un file locale nel sistema quando si accede a un server controllato dall'attaccante. Il problema si manifesta solo con l'uso simultaneo delle opzioni "-J" ("--remote-header-name") e "-i" ("--head"). L'opzione "-J" permette di salvare un file con il nome specificato nell'header
"Content-Disposition". Se un file con tale nome esiste già, il programma curl rifiuta normalmente di sovrascriverlo, ma in presenza dell'opzione "-i", la logica del controllo viene compromessa e il file viene sovrascritto (il controllo avviene durante la ricezione del corpo della risposta, ma con l'opzione "-i", gli header HTTP vengono mostrati prima e riescono a essere salvati prima del trattamento del corpo della risposta). Solo gli header HTTP vengono registrati nel file, ma il server può restituire dati arbitrarî invece degli header e questi verranno scritti. - может привести к утечке на сервер DNS части некоторых паролей доступа к сайту (Basic, Digest, NTLM и т.п.). При использовании символа «@» в пароле, который также используется в качестве разделителя пароля в URL, при срабатывании HTTP-перенаправления curl отправит часть пароля после символа «@» вместе с доменом для определения имени. Например, при указании пароля «passw@rd123» и имени пользователя «dan», curl сгенерирует URL «https://dan:passw@rd123@example.com/path» вместо «https://dan:passw%40rd123@example.com/path» и отправит запрос на резолвинг хоста «rd123@example.com» вместо «example.com».
Il problema si manifesta quando è abilitato il supporto per i redirect HTTP relativi (disattivabili tramite CURLOPT_FOLLOWLOCATION). Con l'uso di DNS tradizionali, le informazioni su parte della password possono essere apprese dal fornitore DNS e da un attaccante in grado di intercettare il traffico di rete transitante (anche se la richiesta originale era su HTTPS, poiché il traffico DNS non è crittografato). Con l'uso di DNS-over-HTTPS (DoH), la fuga è limitata all'operatore DoH.
Fonte: opennet.ru
