Verktyg som wget 1.25 och Curl 8.11 är tillgängliga. Betalda LTS-versioner av Curl har presenterats.

Det har släppts en version av GNU Wget 1.25, ett program för att automatisera nedladdningen av filer med hjälp av protokollen HTTP/HTTPS och FTP/FTPS. Verktyget stöder funktioner som att återuppta avbrutna nedladdningar, spegla webbplatser med filtrering av nedladdade data baserat på mönster, omvandla länkar i dokument, ställa in cookies och uppdatera endast ändrade filer. Projektets kod är skriven i C och distribueras under GPLv3-licensen.

I den nya versionen:

• Analysen av en del av URL:en med information om användarnamn (protocol://userinfo@host:port/path) har skrivits om. Tidigare behandlade wget symbolen ';' felaktigt vid analys av userinfo, vilket ledde till en sårbarhet (CVE-2024-38428) eftersom en del av userinfo-data kunde behandlas som värdnamn. Till exempel, användarnamnet 'attackerhost;' i URL:en 'ftp://attackerhost;@host' ledde till att det gick till värden 'attackerhost', istället för 'host'.
• Stödet för det förkortade formatet av URL-länkar till HTTP- och FTP-resurser (utan tydlig protokollspecificering, till exempel 'wget username:password@myserver'), som tidigare hade deklarerats som föråldrat och ledde till sårbarheten CVE-2024-10524, har avbrutits. Informationen om sårbarheten avslöjas för närvarande inte, men det verkar vara en av varianterna av den ovan nämnda problematiken CVE-2024-38428.
• Läsning från filer och standardströmmen (stdin) har ändrats för att använda icke-blockerande läge. Ändringen gör det möjligt att gradvis överföra länkar via ingångsströmmen med kommandot 'print_urls | wget -i-'. Tidigare läste wget existerande data och stängde genast filbeskrivningen.

Dessutom kan vi nämna lanseringen av verktyget för att hämta och skicka data över nätverket — curl 8.11.0, som ger möjlighet till flexibel begäran med angivelse av sådana parametrar som cookies, user_agent, referer och alla andra rubriker. cURL stöder HTTP, HTTPS, HTTP/2.0, HTTP/3, SMTP, IMAP, POP3, SSH, Telnet, FTP, LDAP, RTSP, RTMP och andra nätverksprotokoll. Projektets kod distribueras under Curl-licensen (en variant av MIT-licensen).

Bland förändringarna i curl 8.11:

• Sårbarhet (CVE-2024-9681) har åtgärdats, vilket gör det möjligt att komma åt resurser via http://, trots att HSTS-regler (HTTP Strict Transport Security) föreskriver användning av endast HTTPS. Problemet uppstår när kontrollen över underdomäner på den attackerade värden finns. Till exempel, med förfrågan till värden x.example.com kan angriparen påverka HSTS-cachedata genom att manipulera HTTP-huvudet "Strict-Transport-Security:" domän example.com.
• Stabilt stöd för WebSocket-protokollet har meddelats.
• Möjlighet att använda läget "--create-dirs" tillsammans med alternativet "--dump-header" har tillhandahållits.
• Stöd för certifikat i P12-format har lagts till i kryptobackend baserad på GnuTLS.
• Vid användning av GnuTLS har stöd för mekanismen Early Data implementerats, vilket gör det möjligt för klienten att skicka data innan TLSv1.3-anslutningen har slutförts.
• En inställning för att stänga av IPFS-protokollet har lagts till.
• För GnuTLS och wolfSSL har stöd för session caching baserat på QUIC-protokollet lagts till.
• Stöd för dynamisk aktivering av TLS-tillägget ECH (Encrypted Client Hello) har lagts till, vilket är avsett för att kryptera information om TLS-sessionparameters, såsom det begärda domännamnet.
• Möjlighet att kombinera alternativen "--show-headers" och "--remote-header-name", samt att använda alternativet "--skip-existing" tillsammans med "--parallel" har lagts till.

Daniel Stenberg, skaparen av curl-projektet, har presenterat en initiativ för att stödja LTS-utgåvor (Rock-solid), med uppdateringar som åtgärdar kritiska fel och sårbarheter som ska publiceras i minst 5 år. Den första LTS-projektet är version 8.9.x, för vilken en korrigerande release 8.9.2 redan har skapats med åtgärdande av två sårbarheter. Åtkomst till LTS-uppdateringar erbjuds endast kunder som har ingått ett supportavtal.

Koden för LTS-utgåvor fortsätter att distribueras under den tidigare licensen Curl (MIT-variant), men på separat begäran finns möjlighet att leverera under en separat kommersiell licens. De erhållna medlen kommer att användas för att stödja projektet och finansiera utvecklarna. Nya LTS-versioner planeras att skapas var 8-24 månad. Användning av LTS-versionen kommer att ge en stabil bas, fri från risken för regressionsändringar.

Källa: opennet.ru