curl 8.4.0

Svetlo sa objavil nový výtvor curl, nástroja a knižnice na prenos dát cez sieť. Po 25 rokoch vývoja projektu v curl bola realizovaná podpora mnohých sieťových protokolov, ako sú HTTP, Gopher, FTP, SMTP, IMAP, POP3, SMB a MQTT. Knižnicu libcurl používajú také významné projekty pre komunitu ako Git a LibreOffice. Kód projektu je distribuovaný pod licenciou Curl (verzia licencie MIT).

Vydanie je pozoruhodné hneď z dvoch dôvodov:

• bola pridaná podpora protokolu IPFS;
• bola opravená nebezpečná zraniteľnosť v implementácii protokolu SOCKS5;

Zraniteľnosť bola osobitne vyzdvihnutá autorom projektu, Dánielom Stenbergom, ako „jedna z najvážnejších zraniteľností v curl za dlhý čas“. Zraniteľnosť je spôsobená chybou v logike nadväzovania spojenia s SOCKS5-proxy, čo útočníkovi umožňuje preplniť buffer a vykonať ľubovoľný kód na strane aplikácie.

Chyba bola odhalená Jayom Satirom, v rámci programu The Internet Bug Bounty mu bola vyplatená odmena vo výške 4660 dolárov.

Treba poznamenať, že Dániel aktívne pracuje na otázkach bezpečnosti a pracuje na implementácii v curl realizácie protokolu HTTP napísaného v jazyku Rust.

Zdroj: linux.org.ru