Microsoft поставляет устаревшие, уязвимые опенсорсные утилиты с Windows 10 и 11

[Kirill8]

Windows 11 22483.1000, curl 7.78 от 21 июля 2021.

[Daimos]

Windows 11 21H2

PS D:\> cmd
Microsoft Windows [Version 10.0.22000.258]
(c) Microsoft Corporation. All rights reserved.

D:\>curl -V
curl 7.55.1 (Windows) libcurl/7.55.1 WinSSL
Release-Date: 2017-11-14, security patched: 2019-11-05
Protocols: dict file ftp ftps http https imap imaps pop3 pop3s smtp smtps telnet tftp
Features: AsynchDNS IPv6 Largefile SSPI Kerberos SPNEGO NTLM SSL

[Kirill8]

Вроде как новая версия curl появилась в dev сборке Windows 11 под номером 10.0.22483.1000.

Чуть ранее (22478.1012) были обновлены OpenSSH до 8.6p1 и LibreSSL до 3.3.3.

А вот когда на релизные версии выкатят обновления — вопрос, конечно, интересный.

[artemlight]

25 уязвимостей в ПО для скачивания файлов за 4 года. И эти люди говорят нам о качестве программного обеспечения!

Неудивительно, что всё это too hard to maintain. Если в курле где-то посерединке релизного цикла Windows были какие-то ломающие изменения, то неудивительно, что MS принял решение бэкпортировать апдейты, не трогая основную кодовую базу.

Тем же самым занимается Debian\Ubuntu, кстати. В вышедшей на полтора года позже ubuntu 18.04 LTS стоит версия curl 7.58, и там с тех пор тоже если не три, то два с половина десятка версий вышло тоже. Ибо rolling release модель не особо подходит для коммерческого использования, а крикуны о "сгнившем программном обеспечении" вряд ли работали с чем-то дальше собственного локалхоста.

[dartraiden]

В Ubuntu LTS бэкпортируют исправления, связанные с безопасностью. Старая версия там означает лишь отсутствие новых фич.

Точно так же, как, например, в Debian или CentOS древнее ядро не означает наличие в нём уязвимостей, исправленных в более поздних релизах. Все исправления переносятся.

[dartraiden]

ssh -V
OpenSSH_for_Windows_8.1p1, LibreSSL 3.0.2

OpenSSH 8.1 (09.10.2019)
LibreSSL 3.0.2 (October 19th, 2019)