curl 7.71.0 dileupaskeun, ngalereskeun dua vulnerabilities

Aya versi anyar tina utilitas pikeun narima jeung ngirim data ngaliwatan jaringan - ngagulung 7.71.0, nu nyadiakeun kamampuhan pikeun flexibly ngarumuskeun pamundut ku nangtukeun parameter kayaning cookie, user_agent, referer tur sagala headers lianna. cURL ngadukung HTTP, HTTPS, HTTP / 2.0, HTTP / 3, SMTP, IMAP, POP3, Telnet, FTP, LDAP, RTSP, RTMP sareng protokol jaringan anu sanés. Dina waktos anu sami, pembaruan dileupaskeun pikeun perpustakaan libcurl, anu dikembangkeun paralel, nyayogikeun API pikeun ngagunakeun sadaya fungsi curl dina program dina basa sapertos C, Perl, PHP, Python.

Pelepasan énggal nambihan pilihan "--retry-all-errors" pikeun nyobian deui operasi upami aya kasalahan sareng ngalereskeun dua kerentanan:

• Kerentanan CVE-2020-8177 ngamungkinkeun anjeun nimpa file lokal dina sistem nalika ngaksés server anu dikontrol ku panyerang. Masalahna ngan muncul nalika pilihan "-J" ("-remote-header-name") sareng "-i" ("-head") dianggo sakaligus. The "-J" pilihan ngidinan Anjeun pikeun nyimpen file kalawan nami dieusian dina lulugu
  "Eusi-Disposisi". Upami file sareng nami anu sami parantos aya, program curl biasana nolak ngalakukeun nimpa, tapi upami pilihan "-i" aya, logika cek rusak sareng file ditimpa (pariksaan dilaksanakeun di panggung. tina narima awak respon, tapi kalawan "-i" pilihan headers HTTP ditampilkeun munggaran tur boga waktu pikeun disimpen saméméh awak respon mimiti diolah). Ngan lulugu HTTP anu ditulis kana file, tapi server bisa ngirim data sawenang tinimbang headers sarta aranjeunna bakal ditulis.

• Kerentanan CVE-2020-8169 bisa ngakibatkeun bocor ka server DNS tina sababaraha kecap akses situs (Dasar, Intisari, NTLM, jsb). Kalayan ngagunakeun simbol "@" dina kecap akses, anu ogé dianggo salaku pemisah sandi dina URL, nalika alihan HTTP dipicu, curl bakal ngirim bagian kecap konci saatos simbol "@" sareng domain pikeun ngabéréskeun. ngaran. Contona, upami anjeun masihan kecap akses "passw@rd123" sareng nami pangguna "dan", curl bakal ngahasilkeun URL "https://dan:passw@[email dijaga]/path" tinimbang "https://dan:passw%[email dijaga]/path" sareng bakal ngirim pamundut pikeun ngabéréskeun host "[email dijaga]" tinimbang "example.com".

  Masalahna muncul nalika dukungan pikeun redirectors HTTP relatif diaktipkeun (ditumpurkeun via CURLOPT_FOLLOWLOCATION). Upami DNS tradisional dianggo, inpormasi ngeunaan bagian tina sandi tiasa didapet ku panyadia DNS sareng ku panyerang anu gaduh kamampuan pikeun ngahalangan lalu lintas jaringan transit (sanaos pamenta asli ngalangkungan HTTPS, sabab lalu lintas DNS henteu énkripsi). Nalika nganggo DNS-over-HTTPS (DoH), bocorna dugi ka operator DoH.

sumber: opennet.ru