Er is weer een nieuwe release van curl, de tool en bibliotheek voor gegevensoverdracht via netwerken. Gedurende 25 jaar ontwikkeling van het project heeft curl ondersteuning voor vele netwerkprotocollen geïmplementeerd, zoals HTTP, Gopher, FTP, SMTP, IMAP, POP3, SMB en MQTT. De libcurl-bibliotheek wordt gebruikt door belangrijke projecten in de gemeenschap zoals Git en LibreOffice. De code van het project wordt verspreid onder de licentie Curl (MIT-licentie).
De release is opmerkelijk om twee redenen:
- toegevoegd ondersteuning voor het protocol IPFS;
- opgelost gevaarlijk kwetsbaarheid in de implementatie van het SOCKS5-protocol;
De kwetsbaarheid is specifiek opgemerkt door de auteur van het project, Daniel Stenberg, als 'een van de ernstigste kwetsbaarheden in curl in lange tijd'. De kwetsbaarheid is veroorzaakt door een fout in de logica van de verbinding met de SOCKS5-proxy, waardoor een aanvaller een buffer kan overlopen en willekeurige code kan uitvoeren aan de applicatiezijde.
De fout werd ontdekt door Jay Satiro in het kader van het programma The Internet Bug Bounty hij ontving een vergoeding van $4660.
Het moet worden opgemerkt dat Daniel een actieve rol speelt in zaken van beveiliging en slechts met één thread werkt. aan het implementeren van de HTTP-protocolimplementatie in curl in de programmeertaal Rust.
Bron: linux.org.ru
