Det har slÀppts en ny version av curl, ett verktyg och bibliotek för dataöverföring över nÀtet. Under de 25 Är som projektet har utvecklats har curl fÄtt stöd för mÄnga nÀtverksprotokoll som HTTP, Gopher, FTP, SMTP, IMAP, POP3, SMB och MQTT. Biblioteket libcurl anvÀnds av viktiga projekt för communityn som Git och LibreOffice. Projektkoden distribueras under licensen Curl (MIT-licensalternativet).
Denna version Àr anmÀrkningsvÀrd av tvÄ skÀl:
- har lagts till stöd för protokollet IPFS;
- fixad en allvarlig sÄrbarhet sÄrbarhet i implementationen av SOCKS5-protokollet;
SÄrbarheten har sÀrskilt uppmÀrksammats av projektets skapare, Daniel Stenberg, som "en av de mest allvarliga sÄrbarheterna i curl pÄ lÀnge". SÄrbarheten orsakas av ett logiskt fel i anslutningsinstÀllningen till SOCKS5-proxy, vilket gör det möjligt för en angripare att utnyttja en buffertöverskridning och köra godtycklig kod pÄ applikationssidan.
Felet upptÀcktes av Jay Satiro, inom ramen för programmet The Internet Bug Bounty och han fick en ersÀttning pÄ $4660.
Det bör noteras att Daniel har en aktiv roll i sÀkerhetsfrÄgor och pÄ att implementera protokollet ActivityPub. i implementeringen av HTTP-protokollet i curl med hjÀlp av Rust.
KĂ€lla: linux.org.ru
