nuova versione dell'utilità per la ricezione e l'invio di dati attraverso la rete — , che offre la possibilità di creare richieste flessibili specificando parametri come cookie, user_agent, referer e qualsiasi altro header. cURL supporta HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, Telnet, FTP, LDAP, RTSP, RTMP e altri protocolli di rete. È stato rilasciato anche un aggiornamento della libreria libcurl, che fornisce un'API per utilizzare tutte le funzionalità di curl nei programmi scritti in linguaggi come C, Perl, PHP, Python.
Nella nuova versione è stata aggiunta l'opzione «—retry-all-errors» per tentare di eseguire nuovamente le operazioni in caso di qualsiasi errore ed è stata risolta due vulnerabilità:
- consente di sovrascrivere un file locale nel sistema quando si accede a un server controllato da un attaccante. Il problema si manifesta solo quando si utilizzano contemporaneamente le opzioni «-J» («—remote-header-name») e «-i» («—head»). L'opzione «-J» consente di salvare il file con il nome indicato nell'intestazione
«Content-Disposition». Se un file con tale nome esiste già, il programma curl si rifiuta di sovrascriverlo in modalità standard, ma in presenza dell'opzione «-i» la logica di controllo viene violata e il file viene sovrascritto (il controllo avviene nella fase di ricezione del corpo della risposta, ma con l'opzione «-i» le intestazioni HTTP vengono visualizzate prima e riescono a essere salvate prima dell'inizio dell'elaborazione del corpo della risposta). Vengono salvate solo le intestazioni HTTP, ma il server può restituire dati arbitrari al posto delle intestazioni e questi verranno salvati. - può portare a una perdita di alcune password di accesso al sito (Basic, Digest, NTLM, ecc.) sul server DNS. Quando si utilizza il simbolo «@» nella password, che è anche utilizzato come separatore della password nell'URL, nel caso di un reindirizzamento HTTP, curl invierà la parte della password dopo il simbolo «@» insieme al dominio per la determinazione del nome. Ad esempio, specificando la password «passw@rd123» e il nome utente «dan», curl genererà l'URL «https://dan:passw@rd123@example.com/path» invece di «https://dan:passwrd123@example.com/path» e invierà la richiesta per risolvere l'host «rd123@example.com» invece di «example.com».
Il problema si verifica quando si attiva il supporto per i reindirizzamenti HTTP relativi (disabilitati tramite CURLOPT_FOLLOWLOCATION). Nel caso si utilizzi DNS tradizionale, un provider DNS e un aggressore che ha la possibilità di intercettare il traffico di rete in transito possono scoprire parte della password (anche se la richiesta iniziale era in HTTPS, poiché il traffico DNS non è crittografato). Con l'uso di DNS-over-HTTPS (DoH), la fuga di dati è limitata all'operatore DoH.
Fonte: opennet.ru
