{"id":120555,"date":"2024-11-12T13:09:16","date_gmt":"2024-11-12T11:09:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostupny-utility-wget-1-25-i-curl-8-11-predstavleny-platnye-lts-vypuski-curl"},"modified":"2024-11-12T13:09:16","modified_gmt":"2024-11-12T11:09:16","slug":"dostupny-utility-wget-1-25-i-curl-8-11-predstavleny-platnye-lts-vypuski-curl","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/dostupny-utility-wget-1-25-i-curl-8-11-predstavleny-platnye-lts-vypuski-curl","title":{"rendered":"As utilit\u00e1rias wget 1.25 e Curl 8.11 est\u00e3o dispon\u00edveis. Lan\u00e7amentos pagos de Long Term Support (LTS) para Curl foram apresentados.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Foi lan\u00e7ado o GNU Wget 1.25, um programa para automatizar o download de arquivos usando os protocolos HTTP\/HTTPS e FTP\/FTPS. A utilit\u00e1ria suporta funcionalidades como retomada de downloads interrompidos, espelhamento de sites com filtragem de dados baixados por m\u00e1scaras, transforma\u00e7\u00e3o de links dentro de documentos, gerenciamento de Cookies e atualiza\u00e7\u00e3o apenas dos arquivos que foram alterados. O c\u00f3digo do projeto \u00e9 escrito na linguagem C e \u00e9 distribu\u00eddo sob a licen\u00e7a GPLv3. <\/p>\n
Na nova vers\u00e3o: <\/p>\n
\n
Reescreveu a an\u00e1lise da parte da URL com informa\u00e7\u00f5es sobre o nome de usu\u00e1rio (protocol:\/\/userinfo@host:port\/path). Anteriormente, o wget processejou incorretamente o caractere \u00ab;\u00bb, resultando em uma vulnerabilidade (CVE-2024-38428), pois parte dos dados de userinfo podia ser processada como nome de host. Por exemplo, o nome de usu\u00e1rio \u00abattackerhost\u00bb na URL \u00abftp:\/\/attackerhost;@host\u00bb resultava em acesso ao host \u00abattackerhost\u00bb, em vez de \u00abhost\u00bb.\n
O suporte ao formato abreviado de links URL para recursos HTTP e FTP (sem a especifica\u00e7\u00e3o expl\u00edcita do protocolo, por exemplo, \u00abwget username:password@myserver\u00bb), que foi declarado obsoleto e causou a vulnerabilidade CVE-2024-10524, foi descontinuado. Detalhes sobre a vulnerabilidade ainda n\u00e3o foram divulgados, mas aparentemente \u00e9 uma das variantes do problema mencionado acima, CVE-2024-38428.\n
As leituras de arquivos e do fluxo padr\u00e3o (stdin) foram alteradas para usar o modo n\u00e3o bloqueante. Essa mudan\u00e7a permite que as URLs sejam passadas gradualmente pelo fluxo de entrada, utilizando o comando \u00abprint_urls | wget -i-\u00bb. Anteriormente, o wget lia os dados dispon\u00edveis e fechava imediatamente o descritor de arquivo. <\/ul>\n
Al\u00e9m disso, foi lan\u00e7ado o utilit\u00e1rio para obter e enviar dados pela rede \u2014 curl 8.11.0, oferecendo a possibilidade de formar solicita\u00e7\u00f5es de forma flex\u00edvel, especificando par\u00e2metros como cookie, user_agent, referer e outros cabe\u00e7alhos. O cURL suporta HTTP, HTTPS, HTTP\/2.0, HTTP\/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP e outros protocolos de rede. O c\u00f3digo do projeto \u00e9 distribu\u00eddo sob a licen\u00e7a Curl (uma variante da licen\u00e7a MIT). <\/p>\n
Entre as mudan\u00e7as no curl 8.11: <\/p>\n
\n
Uma vulnerabilidade (CVE-2024-9681) foi corrigida, permitindo que um recurso fosse acessado pelo protocolo http:\/\/, apesar da exist\u00eancia de regras HSTS (HTTP Strict Transport Security), que requerem o uso apenas de HTTPS. O problema se manifesta quando h\u00e1 controle sobre os subdom\u00ednios do host atacado. Por exemplo, ao solicitar o host x.example.com, um atacante pode manipular o cabe\u00e7alho HTTP \u00abStrict-Transport-Security:\u00bb para influenciar os dados em cache do HSTS para de dom\u00ednio<\/a> example.com.\n