രണ്ട് കേടുപാടുകൾ പരിഹരിച്ച് curl 7.71.0 പുറത്തിറങ്ങി

ലഭ്യമാണ് നെറ്റ്‌വർക്കിലൂടെ ഡാറ്റ സ്വീകരിക്കുന്നതിനും അയയ്ക്കുന്നതിനുമുള്ള യൂട്ടിലിറ്റിയുടെ പുതിയ പതിപ്പ് - ചുരുക്കി 7.71.0, ഇത് കുക്കി, യൂസർ_ഏജന്റ്, റഫറർ, മറ്റേതെങ്കിലും തലക്കെട്ടുകൾ എന്നിവ പോലുള്ള പാരാമീറ്ററുകൾ വ്യക്തമാക്കി ഒരു അഭ്യർത്ഥന രൂപപ്പെടുത്താനുള്ള കഴിവ് നൽകുന്നു. CURL HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, Telnet, FTP, LDAP, RTSP, RTMP എന്നിവയും മറ്റ് നെറ്റ്‌വർക്ക് പ്രോട്ടോക്കോളുകളും പിന്തുണയ്ക്കുന്നു. അതേസമയം, സമാന്തരമായി വികസിപ്പിച്ചുകൊണ്ടിരിക്കുന്ന libcurl ലൈബ്രറിക്കായി ഒരു അപ്‌ഡേറ്റ് പുറത്തിറങ്ങി, C, Perl, PHP, Python തുടങ്ങിയ ഭാഷകളിലെ പ്രോഗ്രാമുകളിൽ എല്ലാ ചുരുളൻ ഫംഗ്‌ഷനുകളും ഉപയോഗിക്കുന്നതിന് ഒരു API നൽകുന്നു.

എന്തെങ്കിലും പിശകുകൾ സംഭവിക്കുകയാണെങ്കിൽ പ്രവർത്തനങ്ങൾ വീണ്ടും ശ്രമിക്കുന്നതിനുള്ള "--retry-all-errors" ഓപ്‌ഷൻ പുതിയ പതിപ്പ് ചേർക്കുകയും രണ്ട് കേടുപാടുകൾ പരിഹരിക്കുകയും ചെയ്യുന്നു:

• കേടുപാടുകൾ CVE-2020-8177 ആക്രമണകാരി നിയന്ത്രിക്കുന്ന സെർവർ ആക്‌സസ് ചെയ്യുമ്പോൾ സിസ്റ്റത്തിലെ ഒരു ലോക്കൽ ഫയൽ തിരുത്തിയെഴുതാൻ നിങ്ങളെ അനുവദിക്കുന്നു. "-J" ("-റിമോട്ട്-ഹെഡർ-നെയിം"), "-i" ("-ഹെഡ്") ഓപ്‌ഷനുകൾ ഒരേസമയം ഉപയോഗിക്കുമ്പോൾ മാത്രമേ പ്രശ്‌നം ദൃശ്യമാകൂ. "-J" ഓപ്ഷൻ നിങ്ങളെ ഹെഡ്ഡറിൽ വ്യക്തമാക്കിയ പേരിനൊപ്പം ഫയൽ സേവ് ചെയ്യാൻ അനുവദിക്കുന്നു
  "ഉള്ളടക്കം-വ്യവഹാരം". അതേ പേരിൽ ഒരു ഫയൽ നിലവിലുണ്ടെങ്കിൽ, curl പ്രോഗ്രാം സാധാരണയായി ഒരു ഓവർറൈറ്റ് ചെയ്യാൻ വിസമ്മതിക്കുന്നു, എന്നാൽ "-i" ഓപ്ഷൻ ഉണ്ടെങ്കിൽ, ചെക്ക് ലോജിക് തകരാറിലാവുകയും ഫയൽ തിരുത്തിയെഴുതുകയും ചെയ്യും (ഘട്ടത്തിൽ പരിശോധന നടത്തുന്നു. പ്രതികരണ ബോഡി സ്വീകരിക്കുന്നതിന്റെ, എന്നാൽ "-i" ഓപ്‌ഷൻ ഉപയോഗിച്ച് HTTP തലക്കെട്ടുകൾ ആദ്യം പ്രദർശിപ്പിക്കും, പ്രതികരണ ബോഡി ആരംഭിക്കുന്നതിന് മുമ്പ് അവ സംരക്ഷിക്കാൻ സമയമുണ്ട്). ഫയലിലേക്ക് HTTP തലക്കെട്ടുകൾ മാത്രമേ എഴുതിയിട്ടുള്ളൂ, എന്നാൽ സെർവറിന് ഹെഡറുകൾക്ക് പകരം അനിയന്ത്രിതമായ ഡാറ്റ അയയ്ക്കാൻ കഴിയും, അവ എഴുതപ്പെടും.

• കേടുപാടുകൾ CVE-2020-8169 может привести к утечке на сервер DNS части некоторых паролей доступа к сайту (Basic, Digest, NTLM и т.п.). При использовании символа «@» в пароле, который также используется в качестве разделителя пароля в URL, при срабатывании HTTP-перенаправления curl отправит часть пароля после символа «@» вместе с доменом для определения имени. Например, при указании пароля «passw@rd123» и имени пользователя «dan», curl сгенерирует URL «https://dan:passw@[ഇമെയിൽ പരിരക്ഷിച്ചിരിക്കുന്നു]"https://dan:passw%" എന്നതിന് പകരം /path"[ഇമെയിൽ പരിരക്ഷിച്ചിരിക്കുന്നു]/പാത്ത്" കൂടാതെ ഹോസ്റ്റ് പരിഹരിക്കാൻ ഒരു അഭ്യർത്ഥന അയയ്ക്കും "[ഇമെയിൽ പരിരക്ഷിച്ചിരിക്കുന്നു]"example.com" എന്നതിനുപകരം.

  ആപേക്ഷിക HTTP റീഡയറക്ടറുകൾക്കുള്ള പിന്തുണ പ്രവർത്തനക്ഷമമാക്കുമ്പോൾ പ്രശ്നം ദൃശ്യമാകുന്നു (CURLOPT_FOLLOWLOCATION വഴി അപ്രാപ്തമാക്കി). പരമ്പരാഗത DNS ഉപയോഗിക്കുന്നുവെങ്കിൽ, പാസ്‌വേഡിന്റെ ഒരു ഭാഗത്തെക്കുറിച്ചുള്ള വിവരങ്ങൾ DNS ദാതാവിനും ട്രാൻസിറ്റ് നെറ്റ്‌വർക്ക് ട്രാഫിക്കിനെ തടസ്സപ്പെടുത്താൻ കഴിവുള്ള ഒരു ആക്രമണകാരിക്കും ലഭിക്കും (യഥാർത്ഥ അഭ്യർത്ഥന HTTPS വഴിയാണെങ്കിൽ പോലും, DNS ട്രാഫിക് എൻക്രിപ്റ്റ് ചെയ്തിട്ടില്ലാത്തതിനാൽ). DNS-over-HTTPS (DoH) ഉപയോഗിക്കുമ്പോൾ, ചോർച്ച DoH ഓപ്പറേറ്ററിലേക്ക് പരിമിതപ്പെടുത്തിയിരിക്കുന്നു.

അവലംബം: opennet.ru