{"id":120555,"date":"2024-11-12T13:09:16","date_gmt":"2024-11-12T11:09:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostupny-utility-wget-1-25-i-curl-8-11-predstavleny-platnye-lts-vypuski-curl"},"modified":"2024-11-12T13:09:16","modified_gmt":"2024-11-12T11:09:16","slug":"dostupny-utility-wget-1-25-i-curl-8-11-predstavleny-platnye-lts-vypuski-curl","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/dostupny-utility-wget-1-25-i-curl-8-11-predstavleny-platnye-lts-vypuski-curl","title":{"rendered":"Sono disponibili gli strumenti wget 1.25 e Curl 8.11. Sono stati presentati i rilasci LTS a pagamento di Curl.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stato rilasciato GNU Wget 1.25, un programma per automatizzare il download di file utilizzando i protocolli HTTP\/HTTPS e FTP\/FTPS. Questo strumento supporta funzionalit\u00e0 come la ripresa di download interrotti, il mirroring di siti web con filtraggio dei dati scaricati tramite maschere, la conversione dei link all'interno dei documenti, la gestione dei cookie e l'aggiornamento solo dei file modificati. Il codice del progetto \u00e8 scritto in C e distribuito con licenza GPLv3. <\/p>\n
Nella nuova versione: <\/p>\n
\n
Riscritto l'analisi della parte dell'URL con le informazioni sull'username (protocol:\/\/userinfo@host:port\/path). In precedenza, wget gestiva erroneamente il carattere \u00ab;\u00bb durante l'analisi di userinfo, portando a una vulnerabilit\u00e0 (CVE-2024-38428) poich\u00e9 parte dei dati di userinfo poteva essere elaborata come nome host. Ad esempio, il nome utente \u00abattackerhost\u00bb nell'URL \u00abftp:\/\/attackerhost;@host\u00bb portava a una connessione al host \u00abattackerhost\u00bb invece di \u00abhost\u00bb.\n
Interrotta la supporto per il formato URL abbreviato per risorse HTTP e FTP (senza una chiara indicazione del protocollo, ad esempio, \u00abwget username:password@myserver\u00bb), che era stato precedentemente dichiarato obsoleto e portava a una vulnerabilit\u00e0 CVE-2024-10524. I dettagli sulla vulnerabilit\u00e0 non sono ancora disponibili, ma sembra essere una delle varianti del problema sopracitato CVE-2024-38428.\n
Le letture da file e dal flusso standard (stdin) sono state cambiate per utilizzare una modalit\u00e0 non bloccante. Questa modifica consente di trasmettere gradualmente tramite il flusso di ingresso i link, utilizzando il comando \u00abprint_urls | wget -i-\u00bb. In precedenza, wget leggeva i dati disponibili e chiudeva immediatamente il descrittore di file. <\/ul>\n
Inoltre, si segnala il rilascio dell'utilit\u00e0 per ottenere e inviare dati attraverso la rete \u2014 curl 8.11.0, che offre la possibilit\u00e0 di formare richieste in modo flessibile impostando parametri come cookie, user_agent, referer e altri header. cURL supporta HTTP, HTTPS, HTTP\/2.0, HTTP\/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP e altri protocolli di rete. Il codice del progetto \u00e8 distribuito sotto la licenza Curl (una variante della licenza MIT). <\/p>\n
Tra le novit\u00e0 in curl 8.11: <\/p>\n
\n
Risolta una vulnerabilit\u00e0 (CVE-2024-9681) che consentiva di accedere a una risorsa tramite il protocollo http:\/\/, nonostante la presenza di regole HSTS (HTTP Strict Transport Security) che impongono l'uso esclusivo di HTTPS. Il problema si manifesta in caso di controllo sui sottodomini dell'host attaccato. Ad esempio, richiedendo l'host x.example.com, l'attaccante pu\u00f2, tramite manipolazioni dell'header HTTP \u00abStrict-Transport-Security:\u00bb, influenzare i dati nella cache HSTS per. di dominio<\/a> example.com.\n