გამოვიდა curl 7.71.0, რომელიც აფიქსირებს ორ დაუცველობას

ხელმისაწვდომია პროგრამის ახალი ვერსია ქსელში მონაცემების მიღებისა და გაგზავნისთვის - curl 7.71.0, რომელიც უზრუნველყოფს მოთხოვნის მოქნილად ჩამოყალიბების შესაძლებლობას ისეთი პარამეტრების მითითებით, როგორიცაა ქუქი, მომხმარებლის_აგენტი, რეფერენტი და ნებისმიერი სხვა სათაური. cURL მხარს უჭერს HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, Telnet, FTP, LDAP, RTSP, RTMP და სხვა ქსელის პროტოკოლებს. ამავდროულად, გამოვიდა განახლება libcurl ბიბლიოთეკისთვის, რომელიც პარალელურად ვითარდება და უზრუნველყოფს API-ს ყველა curl ფუნქციის გამოყენებისთვის პროგრამებში ისეთ ენებზე, როგორიცაა C, Perl, PHP, Python.

ახალი გამოშვება ამატებს „--retry-all-errors“ ოფციას ხელახლა სცადეთ ოპერაციები რაიმე შეცდომის შემთხვევაში და ასწორებს ორ დაუცველობას:

• დაუცველობა CVE-2020-8177 საშუალებას გაძლევთ გადაწეროთ ლოკალური ფაილი სისტემაში თავდამსხმელის მიერ კონტროლირებად სერვერზე წვდომისას. პრობლემა ჩნდება მხოლოდ მაშინ, როდესაც ერთდროულად გამოიყენება "-J" ("–დისტანციური სათაურის სახელი") და "-i" ("ხელმძღვანელი"). "-J" ვარიანტი საშუალებას გაძლევთ შეინახოთ ფაილი სათაურში მითითებული სახელით
  „შინაარსი-განწყობა“. თუ იგივე სახელის ფაილი უკვე არსებობს, curl პროგრამა ჩვეულებრივ უარს ამბობს გადაწერის შესრულებაზე, მაგრამ თუ არსებობს „-i“ ოფცია, შემოწმების ლოგიკა იშლება და ფაილი გადაიწერება (შემოწმება ხორციელდება ეტაპზე. პასუხის ორგანოს მიღებისას, მაგრამ “-i” ოფციით HTTP სათაურები პირველ რიგში გამოჩნდება და აქვს დრო, რომ შეინახოს პასუხის ორგანოს დამუშავებამდე). ფაილში იწერება მხოლოდ HTTP სათაურები, მაგრამ სერვერს შეუძლია სათაურის ნაცვლად თვითნებური მონაცემების გაგზავნა და ისინი ჩაიწერება.

• დაუცველობა CVE-2020-8169 შეიძლება გამოიწვიოს საიტის წვდომის ზოგიერთი პაროლის DNS სერვერზე გაჟონვა (Basic, Digest, NTLM და ა.შ.). პაროლში "@" სიმბოლოს გამოყენებით, რომელიც ასევე გამოიყენება როგორც პაროლის გამყოფი URL-ში, როდესაც HTTP გადამისამართება ამოქმედდება, curl გაგზავნის პაროლის ნაწილს "@" სიმბოლოს შემდეგ დომენთან ერთად გადასაჭრელად. სახელი. მაგალითად, თუ თქვენ მიუთითებთ პაროლს "passw@rd123" და მომხმარებლის სახელს "dan", curl წარმოქმნის URL-ს "https://dan:passw@".[ელ.ფოსტით დაცულია]/path" ნაცვლად "https://dan:passw%"[ელ.ფოსტით დაცულია]/ path" და გამოგიგზავნით მოთხოვნას ჰოსტის გადასაჭრელად "[ელ.ფოსტით დაცულია]"example.com-ის ნაცვლად".

  პრობლემა ჩნდება, როდესაც ჩართულია შედარებითი HTTP გადამისამართების მხარდაჭერა (გამორთულია CURLOPT_FOLLOWLOCATION-ის მეშვეობით). თუ ტრადიციული DNS გამოიყენება, პაროლის ნაწილის შესახებ ინფორმაცია შეიძლება მოიპოვოს DNS პროვაიდერის მიერ და თავდამსხმელის მიერ, რომელსაც აქვს უნარი გადაჭრას სატრანზიტო ქსელის ტრაფიკი (თუნდაც თავდაპირველი მოთხოვნა იყო HTTPS-ით, რადგან DNS ტრაფიკი არ არის დაშიფრული). DNS-over-HTTPS (DoH) გამოყენებისას, გაჟონვა შემოიფარგლება DoH ოპერატორით.

წყარო: opennet.ru