Curl 正式发布新版本 8.4.0 ，修复 SOCKS5 堆溢出漏洞，请尽快更新。

Curl 正式发布新版本 8.4.0 ，修复 SOCKS5 堆溢出漏洞，请尽快更新。 Curl 项目的维护者在一周前就了漏洞提醒，表示将在 8.4.0 版本中修复这个严重的漏洞。据维护人员称，这可能是他们长期以来见过的最严重的 curl 安全问题，同时影响到 libcurl 库和 curl 工具。 根据 Curl 作者 Daniel Stenberg 在其个人博客中的介绍，这个高危漏洞是 SOCKS5 堆溢出漏洞(heap buffer overflow)，该漏洞(CVE-2023-38545)会导致 curl 在 SOCKS5 代理握手过程中溢出基于堆的缓冲区。 目前 8.4.0 版本已正式发布，建议用户和开发者立即更新。 漏洞详情：

Curl 项目将于 10 月 11 日通过 curl 8.4.0 宣布严重程度为 HIGH 的安全问题

Curl 项目将于 10 月 11 日通过 curl 8.4.0 宣布严重程度为 HIGH 的安全问题 Curl 项目正在缩短发布周期，并将于10 月 11 日发布 curl 8.4.0，其中包括修复一个严重程度标识为 HIGH 等级的 CVE 和一个 LOW 等级的 CVE 。被标识为 HIGH 的那个可能是很长时间以来 curl 的最严重的安全漏洞。 新版本以及两个 CVE 的详细信息将于发布当天 06:00 UTC 左右发布。 CVE-2023-38545：严重性 HIGH（同时影响 libcurl 和 curl 工具） CVE-2023-38546：严重性 LOW（仅影响 libcurl，不影响工具） 详细信息：

Django 5.0 释出

Django 5.0 释出 Python Web 框架 Django 释出了。主要新特性包括：数据库计算默认值，数据库生成的模型字段 GeneratedField，声明字段选择选项 Field.choices 和 ChoiceField.choices，等等。随着 Django 5.0 的发布，Django 4.2 结束主流支持，最后一个版本是 v4.2.8，之后该版本将在 2026 年 4 月前一直提供安全和数据丢失修正，开发者鼓励用户升级到较新的版本。来源 ， 频道：@kejiqu 群组：@kejiquchat

Curl 将于10月11日修复一个严重程度为“HIGH”安全漏洞

Curl 将于10月11日修复一个严重程度为“HIGH”安全漏洞 10 月 11 日，curl 将推出新版本 8.4.0。该更新将修复一个严重程度为 HIGH 等级的安全漏洞。这不是什么普通的错误。 据维护人员称，这可能是他们长期以来见过的最严重的 curl 安全问题。 有关漏洞的具体信息在发布前仍处于保密状态，预计于 10 月 11 日 06:00 UTC 时间发布。 已知信息： CVE-2023-38545：严重性 HIGH（同时影响 libcurl 和 curl 工具） CVE-2023-38546：严重性 LOW（仅影响 libcurl，不影响工具） 详细信息：

curl 8.4.0 正式发布，修复 SOCKS5 堆溢出漏洞，建议升级

curl 8.4.0 正式发布，修复 SOCKS5 堆溢出漏洞，建议升级 curl 8.4.0 已正式，创始人 Daniel Stenberg（社区称号 bagder）已提前预告了该版本 修复高危安全漏洞，并称该漏洞可能是很长一段时间以来 curl 遇到的最严重漏洞，同时影响到 libcurl 库和 curl 工具。 根据介绍，这个高危漏洞是 SOCKS5 堆溢出漏洞 (heap buffer overflow)，该漏洞 (CVE-2023-38545) 导致 curl 在 SOCKS5 代理握手过程中溢出基于堆的缓冲区。 有开发者，该漏洞出现的场景是输入的域名太长，从而导致内存溢出。当然前提条件是使用了 SOCKS5 代理。 两种典型的攻击场景如下： 1、某些程序里内置 libcurl，而允许外部用户指定 socket5 代理以及输入超长的域名，则可以发起攻击 2、用户在使用 curl 或者 libcurl 时，使用了 socket5 代理，并且 http 请求到恶意服务器，并且恶意服务器返回了 http 30x 跳转，把用户访问目标指向一个超长域名从而导致溢出 详情查看： 来源：

Thunderbird 128 释出

Thunderbird 128 释出 开源邮件客户端项目 Thunderbird 释出了代号为 Nebula 的 v128，该版本是基于刚刚释出的 Firefox 128 ESR 版本。Thunderbird 128 改进了代码、稳定性和用户体验，主要变化包括：整合了 Rust 语言；重新设计了卡片视图；加强了文件夹窗格；改进了主题兼容性，能与桌面环境无缝融合；自定义账号颜色，为电邮加入了个性化色彩；简化菜单导航，原生 Windows 通知，改进上下文菜单，等等。开发者表示由于技术上的障碍， Thunderbird 128 对 Exchange 和 Mozilla Sync 的支持将延后。 via Solidot