5.6.3. Shell 和命令行工具
禁用对 curl 的 metalink 支持
在 curl 功能中发现了一个缺陷，它在处理使用 Metalink 下载的内容时处理凭证和文件哈希不匹配的方式存在问题。此漏洞允许控制托管服务器的恶意执行器：
- 欺骗用户下载恶意内容
- 获取对提供的凭证的未授权访问权限，但没有用户的知识
来自此漏洞的最大威胁是机密性和完整性。为避免这种情况，在 Red Hat Enterprise Linux 8.2.0.z 中禁用了对 curl 的Metalink 支持。
作为临时解决方案，在下载 Metalink 文件后执行以下命令：
wget --trust-server-names --input-metalink`
例如：
wget --trust-server-names --input-metalink <(curl -s $URL)
(BZ#1999620)