Utilisez-vous curl? Vous devriez mettre à jour maintenant! La nouvelle version 7.71.0 corrige deux bugs sérieux

Maintenant disponible la nouvelle version de mise à jour det «cURL 7.71.0», dans lequel ils se sont concentrés sur la résolution de deux bogues sérieux qui permettent l'accès aux mots de passe et également le pouvoir d'écraser les fichiers. C'est pourquoi l'invitation à passer à la nouvelle version est faite.

Pour ceux qui ignorent cet utilitaire, ils devraient savoir que sert à recevoir et envoyer des données sur le réseau, Offre la possibilité de former une demande de manière flexible en définissant des paramètres tels que cookie, user_agent, referer et tout autre en-tête.

cURL prend en charge HTTP, HTTPS, HTTP / 2.0, HTTP / 3, SMTP, IMAP, POP3, Telnet, FTP, LDAP, RTSP, RTMP et d'autres protocoles réseau. Dans le même temps, une mise à jour parallèle a été publiée pour la bibliothèque libcurl, qui fournit une API pour utiliser toutes les fonctions curl dans des programmes dans des langages tels que C, Perl, PHP, Python.

Principaux changements dans cURL 7.71.0

Cette nouvelle version est une mise à jour et comme mentionné au début, elle vient résoudre deux bogues, qui sont les suivants:

  • Vulnérabilité CVE-2020-8177- Cela permet à un attaquant d'écraser un fichier local sur le système lors de l'accès à un serveur d'attaque contrôlé. Le problème ne se manifeste que lorsque les options "-J" ("–remote-header-name") et "-i" ("–head") sont utilisées simultanément.

Le choix "-J" vous permet d'enregistrer le fichier avec le nom spécifié dans l'en-tête "Content-Disposition". Sj'existe déjà un fichier du même nom, le programme curl refuse normalement d'écraser, mais si l'option "-I" est présent, la logique de contrôle est violée et écrasée le fichier (la vérification se fait au stade de la réception du corps de la réponse, mais avec l'option "-i", les en-têtes HTTP sortent en premier et ont le temps de persister avant de traiter le corps de la réponse). Seuls les en-têtes HTTP sont écrits dans le fichier.

  • La vulnérabilité CVE-2020-8169: cela pourrait provoquer une fuite dans le serveur DNS de certains mots de passe pour accéder au site (Basic, Digest, NTLM, etc.).

Cuando se usa el carácter «@» en una contraseña, que también se usa como delimitador de contraseña en la URL, cuando se activa una redirección HTTP, curl enviará una parte de la contraseña después del carácter «@» junto con el dominio para determinar le nom.

Par exemple, si vous spécifiez le mot de passe "passw @ passw" et le nom d'utilisateur "user", curl générera l'URL "https: // user: passw @ passw @ example.com / path" au lieu de "https: user: passw % 40passw@example.com/path "et envoyez une requête pour résoudre l'hôte" pasww@example.com "au lieu de" example.com ".

Le problème se manifeste lors de l'activation de la prise en charge des redirecteurs HTTP Relative (désactivée via CURLOPT_FOLLOWLOCATION).

Dans le cas de l'utilisation du DNS traditionnel, le fournisseur DNS et l'attaquant peuvent trouver des informations sur une partie du mot de passe, qui peut intercepter le trafic du réseau de transit (même si la demande d'origine a été effectuée via HTTPS, car le trafic DNS n'est pas chiffré). Lors de l'utilisation de DNS sur HTTPS (DoH), la fuite est limitée à l'instruction DoH.

Enfin, un autre des changements qui est intégré dans la nouvelle version est l'ajout de l'option «–retry-all-errors» pour les tentatives répétées d'effectuer des opérations lorsqu'une erreur se produit.

Comment installer cURL sur Linux?

Pour ceux qui souhaitent pouvoir installer cette nouvelle version de cURL Ils peuvent le faire en téléchargeant le code source et en le compilant.

Pour ce faire, la première chose que nous allons faire est de télécharger le dernier package cURL à l'aide d'un terminal, dans celui-ci tapons:

wget https://curl.haxx.se/download/curl-7.71.0.tar.xz

Ensuite, nous allons décompresser le package téléchargé avec:

tar -xzvf curl-7.71.0.tar.xz

Nous entrons dans le dossier nouvellement créé avec:

cd curl-7.71.0

Nous entrons en tant que root avec:

sudo su

Et nous tapons ce qui suit:

./configure --prefix=/usr \
--disable-static \
--enable-threaded-resolver \
--with-ca-path=/etc/ssl/certs &&
make
make install &&
rm -rf docs/examples/.deps &&
find docs \( -name Makefile\* -o -name \*.1 -o -name \*.3 \) -exec rm {} \; &&
install -v -d -m755 /usr/share/doc/curl-7.71.0 &&
cp -v -R docs/* /usr/share/doc/curl-7.71.0

Enfin, nous pouvons vérifier la version avec:

curl --version

Si vous souhaitez en savoir plus, vous pouvez consulter le lien suivant.


Soyez le premier à commenter

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont marqués avec *

*

*

  1. Responsable des données : AB Internet Networks 2008 SL
  2. Finalité des données: Contrôle du SPAM, gestion des commentaires.
  3. Légitimation: votre consentement
  4. Communication des données: Les données ne seront pas communiquées à des tiers sauf obligation légale.
  5. Stockage des données: base de données hébergée par Occentus Networks (EU)
  6. Droits: à tout moment, vous pouvez limiter, récupérer et supprimer vos informations.