{"id":120555,"date":"2024-11-12T13:09:16","date_gmt":"2024-11-12T11:09:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostupny-utility-wget-1-25-i-curl-8-11-predstavleny-platnye-lts-vypuski-curl"},"modified":"2024-11-12T13:09:16","modified_gmt":"2024-11-12T11:09:16","slug":"dostupny-utility-wget-1-25-i-curl-8-11-predstavleny-platnye-lts-vypuski-curl","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/dostupny-utility-wget-1-25-i-curl-8-11-predstavleny-platnye-lts-vypuski-curl","title":{"rendered":"Dost\u0119pne s\u0105 narz\u0119dzia wget 1.25 i Curl 8.11. Przedstawione s\u0105 p\u0142atne wydania LTS Curl","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Wydano wersj\u0119 GNU Wget 1.25, programu do automatyzacji pobierania plik\u00f3w przy u\u017cyciu protoko\u0142\u00f3w HTTP\/HTTPS oraz FTP\/FTPS. Narz\u0119dzie wspiera takie funkcje jak wznawianie przerwanych pobra\u0144, lustrzane kopiowanie stron z filtrowaniem pobieranych danych wg masek, transformacj\u0119 link\u00f3w w dokumentach, ustawianie ciasteczek oraz aktualizacj\u0119 jedynie zmienionych plik\u00f3w. Kod projektu jest napisany w j\u0119zyku C i jest udost\u0119pniany na licencji GPLv3. <\/p>\n
W nowej wersji: <\/p>\n
\n
Przeanalizowano cz\u0119\u015b\u0107 URL z informacjami o nazwie u\u017cytkownika (protocol:\/\/userinfo@host:port\/path). Wcze\u015bniej wget \u017ale obs\u0142ugiwa\u0142 znaki «;» podczas analizy userinfo, co prowadzi\u0142o do podatno\u015bci (CVE-2024-38428), poniewa\u017c cz\u0119\u015b\u0107 danych userinfo mog\u0142a by\u0107 traktowana jako nazwa hosta. Na przyk\u0142ad, nazwa u\u017cytkownika «attackerhost;» w URL «ftp:\/\/attackerhost;@host» prowadzi\u0142a do po\u0142\u0105czenia z hostem «attackerhost», zamiast «host».\n
Zako\u0144czono wsparcie dla skr\u00f3conego formatu URL dla zasob\u00f3w HTTP i FTP (bez wyra\u017anego wskazania protoko\u0142u, np. «wget username:password@myserver»), kt\u00f3ry wcze\u015bniej by\u0142 deklarowany jako przestarza\u0142y i prowadzi\u0142 do podatno\u015bci CVE-2024-10524. Szczeg\u00f3\u0142y dotycz\u0105ce podatno\u015bci nie s\u0105 jeszcze ujawniane, ale wydaje si\u0119, \u017ce jest to jeden z wariant\u00f3w wcze\u015bniej wspomnianego problemu CVE-2024-38428.\n
Odczyty z plik\u00f3w i standardowego strumienia (stdin) zosta\u0142y zaktualizowane, aby u\u017cywa\u0107 trybu nieblokuj\u0105cego. Zmiana ta pozwala na stopniowe przesy\u0142anie link\u00f3w przez strumie\u0144 wej\u015bciowy, u\u017cywaj\u0105c polecenia «print_urls | wget -i-«. Wcze\u015bniej wget odczytywa\u0142 dost\u0119pne dane i od razu zamyka\u0142 deskryptor pliku. <\/ul>\n
Ponadto og\u0142oszono wydanie narz\u0119dzia do pobierania i przesy\u0142ania danych przez sie\u0107 \u2014 curl 8.11.0, kt\u00f3re umo\u017cliwia elastyczne formu\u0142owanie \u017c\u0105da\u0144 z okre\u015blonymi parametrami, takimi jak cookie, user_agent, referer i innymi nag\u0142\u00f3wkami. cURL obs\u0142uguje protoko\u0142y sieciowe, takie jak HTTP, HTTPS, HTTP\/2.0, HTTP\/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP i inne. Kod projektu jest rozpowszechniany na licencji Curl (wersja licencji MIT). <\/p>\n
W\u015br\u00f3d zmian w curl 8.11: <\/p>\n
\n
Usuni\u0119to podatno\u015b\u0107 (CVE-2024-9681), kt\u00f3ra umo\u017cliwia dost\u0119p do zasobu przez protok\u00f3\u0142 http:\/\/, mimo \u017ce istniej\u0105 regu\u0142y HSTS (HTTP Strict Transport Security), kt\u00f3re nakazuj\u0105 u\u017cywanie tylko HTTPS. Problem pojawia si\u0119, gdy atakuj\u0105cy ma kontrol\u0119 nad subdomenami zaatakowanego hosta. Na przyk\u0142ad, w przypadku \u017c\u0105dania hosta x.example.com, napastnik mo\u017ce przez manipulacje nag\u0142\u00f3wkiem HTTP «Strict-Transport-Security:» wp\u0142yn\u0105\u0107 na dane w pami\u0119ci podr\u0119cznej HSTS dla domeny<\/a> example.com.\n