El Desastre de los Puntos de Curl: Dos CVE y una Persecución Sin Fin

El equipo de curl ha tenido una lucha persistente con los puntos finales en los nombres de host dentro de las URL. Inicialmente los ignoraban, pero luego restablecieron el soporte para sitios web que requieren puntos finales. Sin embargo, este cambio introdujo inadvertidamente dos vulnerabilidades de seguridad (CVE-2022-27779 y CVE-2022-30115) que afectan al manejo de cookies y al mecanismo HSTS, respectivamente. Estas vulnerabilidades se debieron a un manejo inadecuado de los puntos finales, lo que provocó coincidencias de dominio incorrectas. Curl 7.83.1 soluciona estos problemas, pero el autor sospecha que esto puede ser solo el comienzo de una batalla prolongada.