Säkerhetsbulletin från Debian

DSA-3705-1 curl -- säkerhetsuppdatering

Rapporterat den:
2016-11-03
Berörda paket:
curl
Sårbara:
Ja
Referenser i säkerhetsdatabaser:
I Mitres CVE-förteckning: CVE-2016-8615, CVE-2016-8616, CVE-2016-8617, CVE-2016-8618, CVE-2016-8619, CVE-2016-8620, CVE-2016-8621, CVE-2016-8622, CVE-2016-8623, CVE-2016-8624.
Ytterligare information:

Flera sårbarheter har upptäckts i cURL, ett URL-överföringsbibliotek:

  • CVE-2016-8615

    Man har upptäckt att en illasinnad HTTP-server kunde injicera nya cookies för godtyckliga domäner i en cookie-behållare.

  • CVE-2016-8616

    Man har upptäckt att vid återanvändning av en anslutning, gjorde curl skifteslägesokänsliga jämförelser av användarnamn och lösenord med den existerande anslutningarna.

  • CVE-2016-8617

    Man har upptäckt att på system med 32-bitars adresser i användarrymden (t.ex. x86, ARM, x32), kunde värdet på utdatabufferstorleken som beräknas i kodningsfunktionen base64 kunde skiftas runt om indatastorleken var minst 1GB av data, vilket orsakar att en utdatabuffer som har för liten storlek att allokeras.

  • CVE-2016-8618

    Man har upptäckt att funktionen curl_maprintf() kunde luras att göra en dubbel frigörning på grund av en osäker size_t-multiplikation på system som använder 32-bitars size_t-variabler.

  • CVE-2016-8619

    Man har upptäckt att Kerberos-implementationen kunde luras till att göra en dubbel frigörning vid läsning av en av längdfälten från en socket.

  • CVE-2016-8620

    Man har upptäckt att curl-verktygets globbing-funktion kunde skriva till ogiltiga minnesutrymmen vid tolkning av ogiltiga räckvidder.

  • CVE-2016-8621

    Man har upptäckt att funktionen curl_getdate kunde läsa utanför gränserna vid tolkning av ogiltiga datumsträngar.

  • CVE-2016-8622

    Man har upptäckt att URL percent-encoding avkodningsfunktionen kunde returnera en signad 32-bitars heltalsvariabel som längd, även om den allokerade en desinationsbuffer som var större än 2GB vilket kunde leda till en skrivning utanför gränserna.

  • CVE-2016-8623

    Man har upptäckt att libcurl hade åtkomst till ett redan avallokerat minnesområde på grund av upprepad åtkomst till delade cookies. Detta kunde leda till en överbelastning eller avslöjande av känslig information.

  • CVE-2016-8624

    Man har upptäckt att curl inte tolkade den auktoritära komponenten av en URL korrekt när värdnamnet slutar med ett '#'-tecken, och kunde luras till att ansluta till en annan värd.

För den stabila utgåvan (Jessie) har dessa problem rättats i version 7.38.0-4+deb8u5.

För den instabila utgåvan (Sid) har dessa problem rättats i version 7.51.0-1.

Vi rekommenderar att ni uppgraderar era curl-paket.