LINUX.ORG.RU

curl 8.4.0

 , , , ,


0

2

Состоялся очередной выпуск curl, утилиты и библиотеки для передачи данных по сети. За 25 лет развития проекта в curl была реализована поддержка множества сетевых протоколов, таких как HTTP, Gopher, FTP, SMTP, IMAP, POP3, SMB и MQTT. Библиотеку libcurl используют такие важные для сообщества проекты как Git и LibreOffice. Код проекта распространяется под лицензией Curl (вариант лицензии MIT).

Выпуск примечателен сразу по двум причинам:

Уязвимость была особо отмечена автором проекта, Даниэлем Стенбергом, как «одна из самых серьезных уязвимостей в curl за долгое время». Уязвимость вызвана ошибкой в логике установки соединения с SOCKS5-прокси, позволяющей атакующему переполнить буфер и выполнить произвольный код на стороне приложения.

Ошибка была выявлена Джеем Сатиро, в рамках программы The Internet Bug Bounty ему была выплачена компенсация в размере $4660.

Следует отметить, что Даниэль занимает активную позицию в вопросах безопасности и работает над внедрением в curl реализации протокола HTTP на языке Rust.

>>> Подробности



Проверено: hobbit ()
Последнее исправление: Satori (всего исправлений: 24)

Ответ на: комментарий от hateyoufeel

Он так у них на сайте:

DICT, FILE, FTP, FTPS, GOPHER, GOPHERS, HTTP, HTTPS, IMAP, IMAPS, LDAP, LDAPS, MQTT, POP3, POP3S, RTMP, RTMPS, RTSP, SCP, SFTP, SMB, SMBS, SMTP, SMTPS, TELNET, TFTP, WS and WSS. curl supports TLS certificates, HTTP POST, HTTP PUT, FTP uploading, HTTP form based upload, proxies (SOCKS4, SOCKS5, HTTP and HTTPS), HTTP/2, HTTP/3, cookies, user+password authentication (Basic, Plain, Digest, CRAM-MD5, SCRAM-SHA, NTLM, Negotiate, Kerberos, Bearer tokens and AWS Sigv4), file transfer resume, proxy tunneling, HSTS, Alt-Svc, unix domain sockets, HTTP compression (gzip, brotli and zstd), etags, parallel transfers, DNS-over-HTTPS and more. 
cumvillain
() автор топика
Ответ на: комментарий от hateyoufeel

С другой стороны, мало ли что у них на сайте.

cumvillain
() автор топика
Ответ на: комментарий от hateyoufeel

Они капсом выделяют не акронимы а название протоколов.

mx__ ★★★★★
()

А потом опять обновление, опять уязвимость от Васи…

Antonio88
()

Даниель считает Очень Серьёзной уязвимостью вот такое, и готов выплачивать несколько штук баксов за обнаружение.

Многим проектам бы поучиться у Даниеля.

Aceler ★★★★★
()
Ответ на: комментарий от Smacker

Очевидно что раст, эффективно решающий проблему порчи памяти, нравится человеку, который от них пострадал.

cumvillain
() автор топика

Дырявое решето это внутреннее состояние всех комбайнов писаных на C.

tommy ★★★★★
()
Ответ на: комментарий от Aceler

и готов выплачивать

This is the largest curl bug-bounty paid to date: 4,660 USD (plus 1,165 USD to the curl project, as per IBB policy)

Так он заплатил или сам тоже получил? Я что-то не понял что это значит.

Tanger ★★★★★
()

Следует отметить, что Даниэль занимает активную позицию в вопросах безопасности и работает над внедрением в curl реализации протокола HTTP на языке Rust.

ну всё, приехали. Биндинг к url для C на rust...
curl существует как нечто с минимумом зависимостей для небольших программ, в rust может быть своя реализация протоколов с борровчекером и unsafe блоками, но в curl то оно зачем?

mittorn ★★★★★
()
Последнее исправление: mittorn (всего исправлений: 1)
Ответ на: комментарий от mittorn

Потому что ему надоел это рак. На самом деле они все кошерно делают: берут hyper, который специально ради этого прошел чернз жирный рефакторинг, делают на нем бекенд к курлу и суют курлу как библиотеку.

cumvillain
() автор топика
Ответ на: комментарий от cumvillain

Да говорю, что в принципе это и не проблема, но curl сам по себе ценился именно как компактное кроссплатформенное решение на Си, тут явно нужен другой подход. Даже если будет из раста кодогенерирован Си,сойдёт. Так rust ограничивает портабельность (ждём хотя бы одного альтернативного компилятора сначала, реально рабочего или рабочего транслятора в си. Пока что есть только транслятор в llvm сильно прибитый к версиям этого llvm. Сыро

mittorn ★★★★★
()
Ответ на: комментарий от mittorn

Я знаю только один процессор, куда Rust не может быть скомпилирован: e2k. Но эти парни сами выбрали свой путь и сами будут страдать.

cumvillain
() автор топика
Ответ на: комментарий от mittorn

надеюсь, не проканает. иначе надо будет делать отдельную ветку курла. а это странно. курл, конечно, корявый. но это не значит, что надо бездарную проприетарщину для школоло неосиляторов тащить куда ни попадя.

Iron_Bug ★★★★★
()
Ответ на: комментарий от Iron_Bug

надеюсь, не проканает. иначе надо будет делать отдельную ветку курла. а это странно. курл, конечно, корявый. но это не значит, что надо бездарную проприетарщину для школоло неосиляторов тащить куда ни попадя.

Показательно, что авторы полезных утилит экспериментируют с Rust и видят в нем ценность, а комментаторы без заметных достижений в open source от него бомбят. Сразу видно, кто делом занимается, а кто языком в интернете чешет.

cumvillain
() автор топика
Ответ на: комментарий от cumvillain

детка, я пишу на С более 30 лет, причём не просто как хобби, а это работа. и количество процессоров и контроллеров, под которые на нём можно писать, исчисляется числом более 3000. это к вопросу о твоих «познаниях» о процессорах и архитектурах, которыми ты тут блеснул. и да, если руки из жопы и человек плохо соображает в программировании - лучше ему вообще в разработку не лезть, а заниматься доставкой пиццы, например. лучше работать курьером, чем тащить в разработку опенсорца уродливую и тупую проприетарную копроративную х..ню. а если вдруг нашёл ошибку в своём коде, обвинять надо не язык программирования, а собственную тупость. компилятор не думает за программиста, внезапно. и компилятор мозгов не прибавит.

Iron_Bug ★★★★★
()
Последнее исправление: Iron_Bug (всего исправлений: 2)
Ответ на: комментарий от Iron_Bug

детка, я пишу на С более 30 лет, причём не просто как хобби, а это работа.

Автор curl пилит свой мегаполезный проект уже 25 лет. У тебя есть что показать?

cumvillain
() автор топика

Годная либа. Жалко «слушать» не умеет.

zx_gamer ★★★
()
Ответ на: комментарий от zx_gamer

Вопрос неправильный. Правильный вопрос: «Зачем Rust?»

Компилируемый язык без GC и с таким же минимальным рантаймом, как у C.

cumvillain
() автор топика
Ответ на: комментарий от cumvillain

Я думал, ты какую-то техническую причину назовешь. Проприетпрность - да, само собой. Хотя в виде транслятора rust->c->e2k могло бы существовать.

liksys ★★★★
()
Ответ на: комментарий от liksys

Так это техническая причина. У эльбруса свой сишный компилятор. Сырцов нет, нормальной документации нет, железа на котором проверять тоже нет, ничего нет.

Причем посоны из e2k это даже понимают и собирались принести в llvm свой бекенд, но этого так и не случилось. Я подозреваю что из-за большущего армейского сапога в заднице разработчиков e2k.

cumvillain
() автор топика
Последнее исправление: cumvillain (всего исправлений: 1)
Ответ на: комментарий от cumvillain

Это организационная причина, а не техническая. Хотя остальное правда, включая сапог. Когда я еще работал в яндексе, к нам приезжал чел их МЦСТ и рассказывал всякое техническое про эльбрус. Было довольно интересно, но ощущение ненужности VLIW для процессоров общего назначения не покидает до сих пор.

liksys ★★★★
()
Ответ на: комментарий от liksys

Было довольно интересно, но ощущение ненужности VLIW для процессоров общего назначения не покидает до сих пор.

Ну отчасти-то все не так плохо. Они даже Atomic Heart запустили на приличных настройках: https://www.youtube.com/watch?v=-0t-5NWk_1o. Просто зачем все это при закрытой в нулину экосистеме действительно непонятно.

cumvillain
() автор топика
Последнее исправление: cumvillain (всего исправлений: 2)
Ответ на: комментарий от zx_gamer

Ну ты хоть предупреждай заранее, когда собственные термины придумываешь.

cumvillain
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.