Predstavljen je izdelek GNU Wget 1.25, programa za avtomatizacijo prenosa datotek z uporabo protokolov HTTP/HTTPS in FTP/FTPS. Orodje podpira možnosti, kot so nadaljevanje prekinjenih prenosov, ogled spletnih strani z filtriranjem prenesenih podatkov po maskah, pretvorba povezav znotraj dokumentov, nastavitev piškotkov in posodabljanje samo spremenjenih datotek. Koda projekta je napisana v jeziku C in je distribuirana pod licenco GPLv3.
V novi različici:
- Prepisan je razčlenitev dela URL z informacijami o uporabniškem imenu (protocol://userinfo@host:port/path). Pred tem je wget pri razčlenjevanju userinfo nepravilno obdeloval znak ';', kar je privedlo do varnostne pomanjkljivosti (CVE-2024-38428), saj so lahko bile nekatere podatke userinfo obravnavane kot ime gostitelja. Na primer, uporabniško ime 'attackerhost;' v URL 'ftp://attackerhost;@host' je privedlo do dostopa do gostitelja 'attackerhost', namesto 'host'.
- Prenehana je podpora za okrajšan format URL povezav na HTTP- in FTP-vire (brez eksplicitnega navedanja protokola, na primer, 'wget username:password@myserver'), ki je bil prej označen kot zastarel in je povzročal ranljivost CVE-2024-10524. Podrobnosti o ranljivosti še niso razkrite, vendar se zdi, da je ena od različic zgoraj omenjene težave CVE-2024-38428.
- Branje iz datotek in standardnega toka (stdin) je bilo preklopljeno na uporabo neblokirnega načina. Sprememba omogoča postopno posredovanje povezav skozi vhodni tok z uporabo ukaza 'print_urls | wget -i-'. Pred tem je wget prebral obstoječe podatke in takoj zaprl datotečni deskriptor.
Poleg tega je izšla različica orodja za pridobivanje in pošiljanje podatkov po omrežju — curl 8.11.0, ki omogoča prilagodljivo oblikovanje zahtevkov z nastavitvijo takih parametrov, kot so piškotki, user_agent, referer in katerikoli drugi glavi. cURL podpira HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP in druge omrežne protokole. Koda projekta se distribucira pod licenco Curl (različica licence MIT).
Med spremembami v curl 8.11:
- Opravljena je ranjivost (CVE-2024-9681) koja omogućava pristup resursu putem protokola http://, unatoč pravilima HSTS (HTTP Strict Transport Security) koja nalažu korišćenje isključivo HTTPS. Problem se manifestuje kada se kontroliše poddomen napadnutog hosta. Na primer, kada se zahteva domen x.example.com napadač može manipulacijom sa HTTP zaglavljem „Strict-Transport-Security:” uticati na podatke u HSTS kešu za domene example.com.
- Objavljena je stabilna podrška za WebSocket protokol.
- Omogućena je upotreba opcije „—create-dirs” zajedno sa opcijom „—dump-header”.
- U kripto backend zasnovan na GnuTLS dodata je podrška za certifikate u P12 formatu.
- Pri korišćenju GnuTLS implementirana je podrška za mehanizam Early Data, koji omogućava klijentu slanje podataka pre završetka faze usaglašavanja TLS v1.3 veze.
- Dodata je opcija za onemogućavanje IPFS protokola.
- Za GnuTLS i wolfSSL dodata je podrška za keširanje sesija na bazi QUIC protokola.
- Dodana je podrška za dinamičko uključivanje TLS ekstenzije ECH (Encrypted Client Hello), koja je namenjena šifrovanju informacija o parametrima TLS sesija, poput traženog domena.
- Dodana je mogućnost zajedničkog korišćenja opcija „—show-headers” i „—remote-header-name”, kao i korišćenje opcije „—skip-existing” zajedno sa „—parallel”.
Daniel Stenberg, autor projekta curl, predstavio je inicijativu za podršku LTS izdanjima (Rock-solid), sa ažuriranjima za ispravljanje ozbiljnih grešaka i ranjivosti koja će biti objavljivana najmanje 5 godina. Prvo LTS izdanje je grana 8.9.x, za koju je već formiran ispravni release 8.9.2 sa eliminacijom dve ranjivosti. Pristup LTS ažuriranjima pruža se samo klijentima koji su sklopili ugovor o podršci.
Kod LTS izdanja se i dalje distribuiraju pod prethodnom Curl licencom (MIT varijanta), ali je na poseban zahtev moguća isporuka pod zasebnom komercijalnom licencom. Prikupljena sredstva će biti utrošena za održavanje projekta i finansiranje programera. Nove LTS grane planiraju se formirati svaka 8-24 meseca. Korišćenje LTS grane omogućava dobijanje stabilne baze, oslobođene verovatnoće pojave regresivnih promena.
Izvor: opennet.ru
