ftp缓冲区空间不受支持_Curl 7.66.0，支持并发传输和HTTP 3

今日Curl官方博客宣布，Curl最新版本7.66发布，经过大量的开发奋战，新版本增加了HTTP/3的支持，另外本地更新还解决了两个悬赏安全问题(共计450美刀)。关于Curl的介绍的详细使用，可以参虫虫的技术文章《利用curl 突破服务器限制，进行安全渗透测试》系列文章。

版本信息图

本次版本开发的各种版本数据信息详见下图：

两个安全漏洞

TFTP小块大小堆缓冲区溢出漏洞(CVE-2019-5482)

如果使用curl小于默认的"块大小"(默认值为512)数据包的TFTP传输，可能会导致curl用于协议交换的堆缓冲区溢出。curlbug赏金计划奖励该漏洞250美元。

FTP-KRB double-free漏洞(CVE-2019-5481)

如果在curl中使用基于kerberos 认证的FTP传输(CURLOPT_KRBLEVEL选项)，并且服务器恶意或错误地响应了一个过大的加密块，会使curl的随后的realloc()的调用失败，这样会导致curl出现异常触发double-free漏洞。