De release van GNU Wget 1.25 is gepresenteerd, een programma voor het automatiseren van bestanddownloads met gebruik van de protocollen HTTP/HTTPS en FTP/FTPS. De utility ondersteunt mogelijkheden zoals het hervatten van onderbroken downloads, het mirroren van websites met filtratie van gedownloade gegevens op basis van patronen, het omzetten van links in documenten, het instellen van cookies en het updaten van alleen gewijzigde bestanden. De projectcode is geschreven in de programmeertaal C en wordt verspreid onder de GPLv3-licentie.
In de nieuwe versie:
- De parsers van een deel van de URL met gebruikersinformatie (protocol://userinfo@host:port/path) zijn herschreven. Voorheen verwerkte wget het teken ';' onjuist bij het parseren van userinfo, wat leidde tot een kwetsbaarheid (CVE-2024-38428) omdat delen van de userinfo als hostname konden worden behandeld. Bijvoorbeeld, de gebruikersnaam 'attackerhost;' in de URL 'ftp://attackerhost;@host' leidde tot toegang tot de host 'attackerhost' in plaats van 'host'.
- De ondersteuning voor de verkorte formaten van URL-links naar HTTP- en FTP-bronnen (zonder expliciete protocolaanduiding, bijvoorbeeld 'wget username:password@myserver'), die eerder als verouderd was verklaard, is stopgezet en leidde tot de kwetsbaarheid CVE-2024-10524. Informatie over de kwetsbaarheid is nog niet openbaar, maar het lijkt erop dat dit een variant is van het eerder genoemde probleem CVE-2024-38428.
- Het lezen van bestanden en de standaardinvoer (stdin) is overgeschakeld naar een niet-blokkerende modus. Deze wijziging maakt het mogelijk om geleidelijk links door de invoerstroom te verzenden met de opdracht 'print_urls | wget -i-'. Voorheen las wget de beschikbare gegevens en sloot onmiddellijk de bestandshandle.
Daarnaast is de release van de utility voor het ophalen en versturen van gegevens over netwerken ā curl 8.11.0 ā te vermelden, die de mogelijkheid biedt om verzoeken flexibel te vormen met het instellen van parameters zoals cookies, user_agent, referer en andere headers. cURL ondersteunt HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP en andere netwerkprotocollen. De projectcode wordt verspreid onder de Curl-licentie (een variant van de MIT-licentie).
Onder de veranderingen in curl 8.11:
- Een kwetsbaarheid (CVE-2024-9681) is verholpen, waardoor het mogelijk was om toegang te krijgen tot resources via het http:// protocol, ondanks de aanwezigheid van HSTS-regels (HTTP Strict Transport Security) die alleen HTTPS voorschrijven. Het probleem doet zich voor wanneer er controle is over de subdomeinen van de aangevallen host. Bijvoorbeeld, bij het verzoek aan de host x.example.com kan de aanvaller via manipulatie van de HTTP-header 'Strict-Transport-Security:' invloed uitoefenen op de gegevens in de HSTS-cache voor domein example.com.
- De stabiele ondersteuning voor het WebSocket-protocol is aangekondigd.
- De mogelijkheid om de '-create-dirs' modus samen met de optie '-dump-header' te gebruiken is toegevoegd.
- Er is ondersteuning voor certificaten in P12-formaat toegevoegd aan de op GnuTLS gebaseerde cryptobackend.
- Bij het gebruik van GnuTLS is ondersteuning voor het Early Data-mechanisme geĆÆmplementeerd, waarmee de cliĆ«nt gegevens kan verzenden voordat de TLSv1.3-verbinding is onderhandeld.
- Er is een instelling toegevoegd om het IPFS-protocol uit te schakelen.
- Voor GnuTLS en wolfSSL is ondersteuning voor sessie-caching op basis van het QUIC-protocol toegevoegd.
- Er is ondersteuning toegevoegd voor dynamisch inschakelen van ondersteuning voor de TLS-extensie ECH (Encrypted Client Hello), bedoeld voor het coderen van informatie over TLS-sessies, zoals de gevraagde domeinnaam.
- De mogelijkheid om de opties '-show-headers' en '-remote-header-name' samen te gebruiken, evenals de optie '-skip-existing' te gebruiken met '-parallel', is toegevoegd.
Daniel Stenberg, de auteur van het curl-project, heeft een initiatief gepresenteerd voor het onderhouden van LTS-releases (Rock-solid), updates met correcties voor ernstige fouten en kwetsbaarheden waarvoor minstens 5 jaar updates zullen worden gepubliceerd. De eerste LTS-release is uitgeroepen tot de tak 8.9.x, waarvoor al een corrigerende release 8.9.2 is gevormd met de oplossing van twee kwetsbaarheden. Toegang tot LTS-updates wordt alleen verleend aan klanten die een onderhoudsovereenkomst hebben afgesloten.
De code van de LTS-releases blijft onder de vorige Curl-licentie (MIT-variant) verspreid, maar op afzonderlijk verzoek is er een mogelijkheid voor levering onder een aparte commerciƫle licentie. De verkregen middelen worden besteed aan het onderhouden van het project en het financieren van ontwikkelaars. Nieuwe LTS-takken worden gepland om elke 8-24 maanden te vormen. Het gebruik van een LTS-tak zal een stabiele basis bieden, vrij van de kans op regressieve veranderingen.
Bron: opennet.ru
