curl 7.71.0 שוחרר, מתקן שתי נקודות תורפה

זמין גרסה חדשה של כלי השירות לקבלה ושליחה של נתונים דרך הרשת - תלתל 7.71.0, המספק את היכולת לנסח בקשה בצורה גמישה על ידי ציון פרמטרים כגון cookie, user_agent, referer וכל כותרות אחרות. cURL תומך ב-HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, Telnet, FTP, LDAP, RTSP, RTMP ופרוטוקולי רשת אחרים. במקביל, שוחרר עדכון לספריית libcurl, המפותחת במקביל, המספק API לשימוש בכל פונקציות ה-curl בתוכנות בשפות כמו C, Perl, PHP, Python.

המהדורה החדשה מוסיפה את האפשרות "--retry-all-errors" כדי לנסות שוב פעולות אם מתרחשות שגיאות כלשהן ומתקן שתי נקודות תורפה:

• פגיעות CVE-2020-8177 מאפשר לך להחליף קובץ מקומי במערכת בעת גישה לשרת הנשלט על ידי התוקף. הבעיה מופיעה רק כאשר האפשרויות "-J" ("-remote-header-name") ו-"-i" ("-head") משמשות בו זמנית. האפשרות "-J" מאפשרת לשמור את הקובץ עם השם שצוין בכותרת
  "תוכן-דיספוזיציה". אם כבר קיים קובץ עם אותו שם, תוכנית ה-Curl מסרבת בדרך כלל לבצע החלפה, אך אם האפשרות "-i" קיימת, לוגיקית הבדיקה נשברת והקובץ מוחלף (הבדיקה מתבצעת בשלב של קבלת גוף התגובה, אך עם האפשרות "-i" מוצגות תחילה כותרות HTTP ויש להן זמן להישמר לפני תחילת עיבוד גוף התגובה). רק כותרות HTTP נכתבות לקובץ, אבל השרת יכול לשלוח נתונים שרירותיים במקום כותרות והם ייכתבו.

• פגיעות CVE-2020-8169 עלול להוביל לדליפה לשרת ה-DNS של חלק מסיסמאות הגישה לאתר (Basic, Digest, NTLM וכו'). על ידי שימוש בסמל "@" בסיסמה, המשמשת גם כמפריד סיסמה בכתובת האתר, כאשר מופעלת הפניה מחדש של HTTP, curl ישלח את החלק של הסיסמה שאחרי הסמל "@" יחד עם הדומיין לפתרון השם. לדוגמה, אם תספק את הסיסמה "passw@rd123" ואת שם המשתמש "dan", curl יפיק את כתובת האתר "https://dan:passw@[מוגן בדוא"ל]/path" במקום "https://dan:passw%[מוגן בדוא"ל]/path" וישלח בקשה לפתרון המארח "[מוגן בדוא"ל]" במקום "example.com".

  הבעיה מופיעה כאשר מופעלת תמיכה במפניי HTTP יחסיים (מושבתים באמצעות CURLOPT_FOLLOWLOCATION). אם נעשה שימוש ב-DNS מסורתי, מידע על חלק מהסיסמה יכול להתקבל על ידי ספק ה-DNS ועל ידי תוקף שיש לו את היכולת ליירט תעבורת רשת מעבר (גם אם הבקשה המקורית הייתה באמצעות HTTPS, שכן תעבורת DNS אינה מוצפנת). בעת שימוש ב-DNS-over-HTTPS (DoH), הדליפה מוגבלת למפעיל ה-DoH.

מקור: OpenNet.ru