कर्ल 7.71.0 जारी गरियो, दुई कमजोरीहरू फिक्स गर्दै

उपलब्ध छ नेटवर्कमा डाटा प्राप्त गर्न र पठाउनको लागि उपयोगिताको नयाँ संस्करण - कर्ल 7.71.0, जसले कुकी, प्रयोगकर्ता_एजेन्ट, रेफरर र अन्य कुनै पनि हेडरहरू जस्ता प्यारामिटरहरू निर्दिष्ट गरेर लचिलो रूपमा अनुरोध तयार गर्ने क्षमता प्रदान गर्दछ। cURL ले HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, Telnet, FTP, LDAP, RTSP, RTMP र अन्य नेटवर्क प्रोटोकलहरूलाई समर्थन गर्दछ। उही समयमा, एक अपडेट जारी गरिएको थियो libcurl पुस्तकालय, जुन समानान्तर रूपमा विकसित भइरहेको छ, C, Perl, PHP, Python जस्ता भाषाहरूमा कार्यक्रमहरूमा सबै कर्ल प्रकार्यहरू प्रयोग गर्नका लागि API प्रदान गर्दै।

नयाँ विज्ञप्तिले "--पुन: प्रयास-सबै-त्रुटिहरू" विकल्प थप्छ यदि कुनै त्रुटिहरू देखा पर्छन् र दुई कमजोरीहरू फिक्स गर्दछ भने अपरेशनहरू पुन: प्रयास गर्न:

• कमजोरी CVE-2020-8177 आक्रमणकर्ता द्वारा नियन्त्रित सर्भर पहुँच गर्दा प्रणालीमा स्थानीय फाइल अधिलेखन गर्न अनुमति दिन्छ। समस्या तब मात्र देखा पर्दछ जब "-J" ("-remote-header-name") र "-i" ("—head") विकल्पहरू एकै साथ प्रयोग गरिन्छ। "-J" विकल्पले तपाईंलाई हेडरमा निर्दिष्ट नामको साथ फाइल बचत गर्न अनुमति दिन्छ
  "सामग्री-व्यवस्थित"। यदि उही नामको फाइल पहिले नै अवस्थित छ भने, कर्ल कार्यक्रमले सामान्यतया अधिलेखन गर्न अस्वीकार गर्दछ, तर यदि "-i" विकल्प अवस्थित छ भने, जाँच तर्क टुटेको छ र फाइल अधिलेखन गरिएको छ (चेक चरणमा गरिन्छ। प्रतिक्रिया मुख्य भाग प्राप्त गर्दा, तर "-i" विकल्पको साथ HTTP हेडरहरू पहिले प्रदर्शित हुन्छन् र प्रतिक्रिया शरीर प्रक्रिया सुरु हुनु अघि बचत गर्न समय छ)। केवल HTTP हेडरहरू फाइलमा लेखिएका छन्, तर सर्भरले हेडरको सट्टा मनमानी डाटा पठाउन सक्छ र तिनीहरू लेखिनेछन्।

• कमजोरी CVE-2020-8169 केही साइट पहुँच पासवर्डहरू (आधारभूत, डाइजेस्ट, NTLM, आदि) को DNS सर्भरमा चुहावट हुन सक्छ। पासवर्डमा "@" प्रतीक प्रयोग गरेर, जुन URL मा पासवर्ड विभाजकको रूपमा पनि प्रयोग गरिन्छ, जब HTTP रिडिरेक्ट ट्रिगर हुन्छ, कर्लले समाधान गर्न डोमेनको साथमा "@" प्रतीक पछि पासवर्डको अंश पठाउनेछ। नाम। उदाहरणका लागि, यदि तपाईंले पासवर्ड "passw@rd123" र प्रयोगकर्ता नाम "dan" प्रदान गर्नुभयो भने, curl ले URL "https://dan:passw@" उत्पन्न गर्नेछ।[ईमेल सुरक्षित]"https://dan:passw%" को सट्टा /path"[ईमेल सुरक्षित]/path" र होस्ट समाधान गर्न अनुरोध पठाउनेछ "[ईमेल सुरक्षित]"example.com" को सट्टा।

  समस्या देखा पर्दछ जब सापेक्ष HTTP पुनर्निर्देशकहरूको लागि समर्थन सक्षम पारिएको छ (CURLOPT_FOLLOWLOCATION मार्फत असक्षम गरिएको छ)। यदि परम्परागत DNS प्रयोग गरिन्छ भने, पासवर्डको अंशको बारेमा जानकारी DNS प्रदायक र ट्रान्जिट नेटवर्क ट्राफिकलाई अवरोध गर्ने क्षमता भएको आक्रमणकर्ताद्वारा प्राप्त गर्न सकिन्छ (यदि मूल अनुरोध HTTPS मार्फत भएको हो भने, DNS ट्राफिक इन्क्रिप्ट गरिएको छैन)। जब DNS-over-HTTPS (DoH) प्रयोग गरिन्छ, चुहावट DoH अपरेटरमा सीमित हुन्छ।

स्रोत: opennet.ru