Рекомендация Debian по безопасности

DSA-3705-1 curl -- обновление безопасности

Дата сообщения:
03.11.2016
Затронутые пакеты:
curl
Уязвим:
Да
Ссылки на базы данных по безопасности:
В каталоге Mitre CVE: CVE-2016-8615, CVE-2016-8616, CVE-2016-8617, CVE-2016-8618, CVE-2016-8619, CVE-2016-8620, CVE-2016-8621, CVE-2016-8622, CVE-2016-8623, CVE-2016-8624.
Более подробная информация:

В cURL, библиотеке передачи URL, было обнаружено несколько уязвимостей:

  • CVE-2016-8615

    Было обнаружено, что HTTP-сервер, контролируемый злоумышленником, может вводить новые куки для произвольных доменов в jar-файл куки.

  • CVE-2016-8616

    Было обнаружено, что при повторном использовании соединения curl выполняет нечувствительные к регистру сравнения имени пользователя и пароля с таковыми в уже существующих соединениях.

  • CVE-2016-8617

    Было обнаружено, что на системах с 32-битными адресами в пользовательском пространстве (например, x86, ARM, x32) размер буфера вывода, вычисляемый в функции кодирования base64, оказывается слишком маленьким в случае, если размер входных данных по меньшей мере составляет 1ГБ, что приводит к выделению недостаточного количества памяти для выводного буфера.

  • CVE-2016-8618

    Было обнаружено, что функцию curl_maprintf() можно использовать для выполнения двойного освобождения памяти из-за небезопасного умножения size_t в системах, использующих 32-битные переменные size_t.

  • CVE-2016-8619

    Было обнаружено, что реализация Kerberos может использоваться для выполнения двойного освобождения памяти при чтении одного из полей длин из сокета.

  • CVE-2016-8620

    Было обнаружено, что инструмент curl для работы с шаблонами поиска может выполнять запись в неправильную область памяти при выполнении грамматического разбора некорректных диапазонов.

  • CVE-2016-8621

    Было обнаружено, что функция curl_getdate может выполнять чтение за пределами выделенного буфера при выполнении грамматического разбора некорректных строк с датами.

  • CVE-2016-8622

    Было обнаружено, что функция декодирования URL, закодированных с символами процента, может вернуть в качестве длины знаковую 32-битную переменную даже в том случае, когда был выделен буфер назначения размером более 2ГБ, что может приводить к записи за пределами выделенного буфера.

  • CVE-2016-8623

    Было обнаружено, что libcurl может обращаться к уже освобождённым областям памяти из-за параллельного доступа к разделяемым куки. Это может приводить к отказу в обслуживании или раскрытию чувствительной информации.

  • CVE-2016-8624

    Было обнаружено, что curl неправильно выполняет грамматический разбор авторитетного компонента URL в случае, если имя узла заканчивается символом '#', и может подключиться к другому узлу.

В стабильном выпуске (jessie) эти проблемы были исправлены в версии 7.38.0-4+deb8u5.

В нестабильном выпуске (sid) эти проблемы были исправлены в версии 7.51.0-1.

Рекомендуется обновить пакеты curl.