Le désastre des points de Curl : deux CVE et une poursuite sans fin

L’équipe Curl a eu une lutte persistante avec les points de suspension dans les noms d’hôtes des URL. Au début, ils les ignoraient, puis ils ont rétabli la prise en charge des sites Web nécessitant des points de suspension. Cependant, ce changement a introduit par inadvertance deux vulnérabilités de sécurité (CVE-2022-27779 et CVE-2022-30115) affectant respectivement la gestion des cookies et le mécanisme HSTS. Ces vulnérabilités provenaient d’une mauvaise gestion des points de suspension, entraînant des correspondances de domaine incorrectes. Curl 7.83.1 corrige ces problèmes, mais l’auteur soupçonne que ce n’est peut-être que le début d’une longue bataille.