cURL 7.77.0 发布，命名200 OK

出品|开源中国
文|白开水
cURL 7.77.0 现已发布。这是该软件的第 200 次版本发布，因此官方也将 7.77.0 版本命名为 200 OK 。
“它恰好与我们超过 900 个提交者和超过 2400 个项目的贡献者相吻合。这也是有史以来第一个我们在 RELEASE-NOTES 中感谢 80 多人帮助我们发布的版本，并且我们在bug-bounty 计划中创造了两个新的记录：对一个 bug 的最大单次支付（2000 美元）和在一个发布周期内的最大总支付 3800 美元。 ”

本文插图
Release Presentation
Numbers
第 200 次发布5 changes42 天 (total: 8,468)133 bug-fixes (total: 6,966)192 commits (total: 27,202)0 个新的 public libcurl function (total: 85)2 个新的 curl_easy_setopt 选项 (total: 290)2 个新的 curl 命令行选项 (total: 242)82 contributors, 44 new (total: 2,410)47 authors, 23 new (total: 901)3 个安全修复 (total: 103)3800 美元的 Bug 赏金 (total: 9,000 USD) Security
CVE-2021-22901: TLS session caching disaster 。这是 OpenSSL 后端代码中的一个 Use-After-Free ，在 absolutely worst 的情况下会导致 RCE ，即远程代码执行。这个漏洞是最近才出现的，很难被利用，但官方建议用户应该立即升级或打补丁。从 TLS 服务器发送与 TLS 会话相关的信息时，如果以前使用它的传输已经完成并消失，则会发生此问题。这就是那个价值 2000 美元的 bug 。 CVE-2021-22898: TELNET stack contents disclosure 。当 libcurl 接受自定义 TELNET 选项发送至服务器时，输入解析器存在缺陷，可被利用来让 libcurl 代替堆栈发送内容。这个漏洞价值 1000 美金。 CVE-2021-22897: schannel cipher selection surprise 。在 Schannel 的后端代码中，为一次 transfer 所选择的密码被存储在一个静态变量中。这导致一个传输的选择削弱了单组传输的选择，可能会在不知不觉中影响其他连接，使其安全等级低于预期。这个漏洞价值 800 美金。 Changes
【cURL 7.77.0 发布，命名200 OK】Make TLS flavor explicit：curl configure 脚本不再默认选择一个特定的 TLS 库。现在当使用 configure 构建 curl 时，需要选择要使用的库。 No more SSL：curl 现在不再有支持 SSLv2 或 SSLv3 的痕迹。这些古老而不安全的 SSL 版本已经被各地的 TLS 库默认禁用，但现在即使在特殊构建中也无法激活它们。从 curl 工具和库中都删除了（因此算作两个 change）。 HSTS in the build：此前版本中曾带来了对 HSTS 的实验性支持，现在已去掉了实验性的标签，并在构建时默认启用，以便大家更容易地使用它。 In-memory cert API：为 libcurl 引入 API 选项，允许用户在内存中指定证书，而不是使用文件系统中的文件。参见 CURLOPT_CAINFO_BLOB 。一些有趣的 bug-fixes