Membentangkan keluaran GNU Wget 1.25, sebuah program untuk mengautomasikan muat turun fail menggunakan protokol HTTP/HTTPS dan FTP/FTPS. Utiliti ini menyokong ciri seperti menyambung semula muat turun yang terganggu, mencerminkan tapak dengan menapis data yang dimuat turun dengan topeng, menukar pautan dalam dokumen, menetapkan Kuki dan mengemas kini hanya fail yang diubah. Kod projek ditulis dalam C dan diedarkan di bawah lesen GPLv3.
Dalam versi baharu:
- Penghuraian bahagian URL dengan maklumat tentang nama pengguna telah ditulis semula (protocol://userinfo@host:port/path). Sebelum ini, wget tidak akan menghuraikan userinfo dengan betul apabila menghuraikan aksara ";", mengakibatkan kerentanan (CVE-2024-38428) disebabkan sebahagian daripada data info pengguna boleh dianggap sebagai nama hos. Sebagai contoh, nama pengguna ialah "host penyerang;" dalam URL "ftp://attackerhost;@host" menghasilkan akses kepada hos "attackerhost", bukannya "host".
- Sokongan untuk format pautan URL yang dipendekkan ke sumber HTTP dan FTP (tanpa menyatakan protokol secara eksplisit, sebagai contoh, "wget username:password@myserver"), yang sebelum ini ditamatkan dan membawa kepada kerentanan CVE-2024-10524, telah dihentikan. Maklumat tentang kelemahan masih belum didedahkan, tetapi nampaknya ia adalah salah satu daripada varian masalah yang disebutkan di atas CVE-2024-38428.
- Membaca daripada fail dan strim standard (stdin) telah ditukar untuk menggunakan mod tidak menyekat. Perubahan itu membolehkan pautan diteruskan secara beransur-ansur melalui aliran input menggunakan arahan “print_urls | wget -i-“. Sebelum ini, wget akan membaca data yang tersedia dan segera menutup deskriptor fail.
Di samping itu, kita boleh perhatikan keluaran utiliti untuk menerima dan menghantar data melalui rangkaian - curl 8.11.0, yang menyediakan keupayaan untuk merumus permintaan secara fleksibel dengan parameter seperti cookie, user_agent, referer dan mana-mana pengepala lain. cURL menyokong HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP dan protokol rangkaian lain. Kod projek diedarkan di bawah lesen Curl (varian lesen MIT).
Antara perubahan dalam curl 8.11:
- Satu kelemahan (CVE-2024-9681) telah dibetulkan yang membenarkan akses kepada sumber melalui protokol http:// walaupun terdapat peraturan HSTS (HTTP Strict Transport Security) yang hanya mewajibkan penggunaan HTTPS. Isu ini muncul apabila mengawal subdomain hos yang diserang. Contohnya, apabila meminta hos x.example.com, penyerang boleh memanipulasi pengepala HTTP "Strict-Transport-Security:" untuk mempengaruhi data dalam cache HSTS. domain example.com.
- Sokongan untuk protokol WebSocket telah diumumkan sebagai stabil.
- Keupayaan untuk menggunakan mod "--create-dirs" bersama-sama dengan pilihan "--dump-header" telah disediakan.
- Sokongan untuk sijil dalam format P12 telah ditambahkan pada bahagian belakang kripto berasaskan GnuTLS.
- Apabila menggunakan GnuTLS, sokongan untuk mekanisme Data Awal dilaksanakan, yang membolehkan pelanggan menghantar data sebelum peringkat rundingan sambungan TLSv1.3 selesai.
- Tetapan ditambahkan untuk melumpuhkan protokol IPFS.
- Menambah sokongan untuk caching sesi berdasarkan protokol QUIC untuk GnuTLS dan wolfSSL.
- Sokongan tambahan untuk sokongan yang membolehkan secara dinamik untuk sambungan TLS ECH (Encrypted Client Hello), direka untuk menyulitkan maklumat tentang parameter sesi TLS, seperti nama domain yang diminta.
- Menambahkan keupayaan untuk menggunakan pilihan --show-headers dan --remote-header-name bersama-sama, serta menggunakan pilihan --skip-existing dengan --parallel.
Daniel Stenberg, pengarang projek curl, memperkenalkan inisiatif untuk mengekalkan keluaran LTS (Rock-solid), yang mana kemas kini dengan pembetulan untuk pepijat dan kelemahan yang serius akan diterbitkan selama sekurang-kurangnya 5 tahun. Cawangan 8.9.x diumumkan sebagai projek LTS pertama, yang mana keluaran pembetulan 8.9.2 telah pun dibuat dengan penghapusan dua kelemahan. Akses kepada kemas kini LTS hanya tersedia kepada pelanggan dengan perjanjian sokongan.
Kod untuk keluaran LTS terus diedarkan di bawah lesen Curl sebelumnya (versi MIT), tetapi tersedia di bawah lesen komersial yang berasingan atas permintaan. Dana yang diterima akan digunakan untuk menyokong pemaju projek dan kewangan. Cawangan LTS baharu dirancang untuk dibentuk setiap 8-24 bulan. Menggunakan cawangan LTS akan menyediakan pangkalan yang stabil, bebas daripada kemungkinan perubahan regresif.
Sumber: opennet.ru
