curl 8.4.0

Det har vært en ny utgivelse av curl, verktøyet og biblioteket for overføring av data over nettverket. I løpet av 25 år med prosjektutvikling har curl implementert støtte for en rekke nettverksprotokoller, inkludert HTTP, Gopher, FTP, SMTP, IMAP, POP3, SMB og MQTT. Biblioteket libcurl brukes av viktige prosjekter som Git og LibreOffice. Prosjektkoden distribueres under lisens Curl (MIT-lisensalternativet).

Utgivelsen er bemerkelsesverdig av to grunner:

• er det lagt til støtte for protokollen IPFS;
• utbedret en kritisk sårbarhet i implementeringen av SOCKS5-protokollen;

Sårbarheten ble spesielt merket av prosjektforfatteren, Daniel Stenberg, som «en av de mest alvorlige sårbarhetene i curl på lenge». Sårbarheten er forårsaket av en feil i logikken for å sette opp forbindelse med en SOCKS5-proxy, noe som lar en angriper oversvømme bufferen og kjøre vilkårlig kode på applikasjonssiden.

Feilen ble oppdaget av Jay Satiro, som en del av programmet The Internet Bug Bounty hvor han mottok en belønning på $4660.

Det er verdt å merke seg at Daniel tar en aktiv rolle i spørsmål om sikkerhet og fungerer i implementeringen av HTTP-protokollen i curl med Rust.

Kilde: linux.org.ru