curl 7.71.0 la sii daayay, hagaajinta laba dayacan

La heli karo nooca cusub ee utility-ka ee helitaanka iyo dirida xogta shabakada - xayiraad 7.71.0, kaas oo siinaya awoodda si dabacsanaan leh loo qaabeeyo codsiga iyadoo la qeexayo cabbirada sida buskudka, user_agent, tixraacaha iyo madax kasta oo kale. cURL waxay taageertaa HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, Telnet, FTP, LDAP, RTSP, RTMP iyo borotokoolka shabakada kale. Isla mar ahaantaana, cusbooneysiin ayaa loo sii daayay maktabadda libcurl, taas oo loo sameeyay si isku mid ah, oo bixisa API si loogu isticmaalo dhammaan hawlaha curl ee barnaamijyada luqadaha sida C, Perl, PHP, Python.

Siideynta cusub waxay ku dartay "--ku-cel-celis-all-errors" doorashada si dib loogu tijaabiyo hawlgallada haddii ay wax khalad ahi dhacaan oo ay hagaajiyaan laba dayacan:

  • Nuglaanta CVE-2020-8177 wuxuu kuu ogolaanayaa inaad ku qorto faylka deegaanka ee nidaamka marka aad gelayso server-ka uu gacanta ku hayo weeraryahanku. Dhibaatadu waxay soo baxdaa kaliya marka "-J" ("-remote-header-name") iyo "-i" ("-madaxa") la isticmaalo isku mar. Xulashada "-J" waxay kuu ogolaaneysaa inaad kaydiso faylka magaca lagu qeexay madaxa
    "Content-Disposition". Haddii fayl isku magac ah uu hore u jiray, barnaamijka curlku caadiyan wuu diidaa inuu dib u qoro, laakiin haddii ikhtiyaarka "-i" uu jiro, jeeggu waa jabay feylkana waa la beddelayaa (jeegta waxaa lagu sameeyaa marxaladda). Helitaanka hay'adda jawaabta, laakiin leh "-i" ikhtiyaarka madax-madaxeedyada HTTP ayaa marka hore la soo bandhigay waxayna haystaan ​​wakhti ay ku badbaadiyaan ka hor inta aan la bilaabin in la farsameeyo jawaabta jidhka). Kaliya madaxyada HTTP ayaa loo qoraa faylka, laakiin server-ku wuxuu soo diri karaa xog aan sabab lahayn bedelkii madaxyada waana la qori doonaa.

  • Nuglaanta CVE-2020-8169 waxa laga yaabaa inay u horseeddo daadasho serferka DNS ee qaar ka mid ah furayaasha gelitaanka goobta (Basic, Digest, NTLM, iwm.). Adigoo isticmaalaya calaamada "@" ee erayga sirta ah, kaas oo sidoo kale loo isticmaalo kala soocida erayga sirta ah ee URL-ka, marka HTTP wareejinta la kiciyo, curl ayaa soo diri doonta qaybta erayga sirta ah ka dib calaamada "@" oo ay la socoto domainka si loo xalliyo magaca. Tusaale ahaan, haddii aad bixiso erayga sirta ah "passw@rd123" iyo magaca isticmaalaha "dan", curl ayaa soo saari doona URL-ka "https://dan:passw@[emailka waa la ilaaliyay]/dariiqa" halkii "https://dan:passw%"[emailka waa la ilaaliyay]/dariiqa" waxayna soo diri doontaa codsi lagu xallinayo martida loo yahay"[emailka waa la ilaaliyay]"halkii"example.com"

    Dhibaatadu waxay soo baxdaa marka taageerada dib u habaynta HTTP qaraabo ah la furo (naafo iyada oo loo marayo CURLOPT_FOLLOWLOCATION). Haddii DNS-ka caadiga ah la isticmaalo, macluumaadka ku saabsan qayb ka mid ah erayga sirta ah waxaa heli kara bixiyaha DNS iyo weeraryahan awood u leh inuu ka hortago taraafikada shabakadda gaadiidka (xitaa haddii codsigii asalka ahaa uu ahaa HTTPS, maaddaama taraafikada DNS aan la qarin). Marka DNS-over-HTTPS (DoH) la isticmaalo, daadintu waxay ku kooban tahay hawlwadeenka DoH.

Source: opennet.ru

Add a comment