curl Notfall-Update

[CoMo]

We are cutting the release cycle short and will release curl 8.4.0 on October 11, including fixes for a severity HIGH CVE and one severity LOW. The one rated HIGH is probably the worst curl security flaw in a long time.

The new version and details about the two CVEs will be published around 06:00 UTC on the release day.

https://github.com/curl/curl/discussions/12026

Das ist morgen früh um 08:00. Warum keine News dazu bisher? Oder habe ich sie übersehen?

Der Titel ist so kurz gehalten, weil das System den richtigen Titel nicht haben wollte.

 

[Michael-Menten]

Weil es keine Infos gibt.
Die hypen das update seit über einer Woche anstatt es freizugeben.

 

[DaysShadow]

Evtl. weil das hier ComputerBase ist und nicht SoftwareEngineer/SysAdminBase? Softwarelücken tauchen ständig in Libs und Tools auf, man muss die hier aber nicht alle für alle als große Nachricht melden, wenn's nicht alle im großen Rahmen betrifft.

 

[CoMo]

Es gibt absichtlich keine Infos, damit es nicht exploited werden kann, bevor die Distros Zeit hatten, Patches vorzubereiten. Steht so im Kommentar.

Wenn es kein gravierendes Problem wäre, hätte man es sicher einfach mit den regulären Updates gefixt.

Schließlich setzt nahezu jeder irgendwie und irgendwo curl ein.

wenn's nicht alle im großen Rahmen betrifft.

Klingt aber eben genau so, als ob es fast jeden im großen Rahmen betrifft.

 

[kachiri]

Es gibt absichtlich keine Infos, damit es nicht exploited werden kann, bevor die Distros Zeit hatten, Patches vorzubereiten. Steht so im Kommentar.

Deswegen steht es so in einer öffentlichen GitHub-Diskussion und deswegen fragst du, warum das noch nicht hier steht?!

 

[CoMo]

Ich verstehe deinen Kommentar nicht.

 

[ameisenbaer]

man muss die hier aber nicht alle für alle als große Nachricht melden, wenn's nicht alle im großen Rahmen betrifft.

"cURL ist schon länger in vielen Linux-Distributionen enthalten. Seit dem April-2018-Update (1803) wurde cURL als Bordmittel in Windows 10 aufgenommen und ist in einer Standardinstallation von Windows enthalten."

https://de.wikipedia.org/wiki/CURL

 

[CoMo]

How I made a heap overflow in curl