Информация по безопасности / 2018 / Информация о безопасности -- DSA-4136-1 curl

Рекомендация Debian по безопасности

DSA-4136-1 curl -- обновление безопасности

Дата сообщения:

14.03.2018

Затронутые пакеты:

curl

Уязвим:

Да

Ссылки на базы данных по безопасности:

В каталоге Mitre CVE: CVE-2018-1000120, CVE-2018-1000121, CVE-2018-1000122.

Более подробная информация:

В cURL, библиотеке передачи URL, были обнаружены многочисленные уязвимости.

• CVE-2018-1000120

  Дай Фан Тан обнаружил, что curl может по ошибке записать нулевой байт за пределы выделенного буфера памяти, когда curl работает по FTP URL при выборе настройки по отправке только одной команды CWD в случае, если часть каталога URL содержит последовательность “%00”.

• CVE-2018-1000121

  Дарио Вайзер обнаружил, что curl может выполнять разыменование близкого к NULL адреса при получении LDAP URL из-за того, что функция ldap_get_attribute_ber() возвращает LDAP_SUCCESS и NULL-указатель. Вредоносный сервер может вызвать аварийную остановку использующего libcurl приложения, разрешающего LDAP URL, или разрешающего перенаправления на LDAP URL.

• CVE-2018-1000122

  Сотрудники OSS-fuzz при помощи Макса Даймонда обнаружили, что curl может скопировать данные за пределами выделенного буфера динамической памяти при запросе передачи RTSP URL.

В предыдущем стабильном выпуске (jessie) эти проблемы были исправлены в версии 7.38.0-4+deb8u10.

В стабильном выпуске (stretch) эти проблемы были исправлены в версии 7.52.1-5+deb9u5.

Рекомендуется обновить пакеты curl.

С подробным статусом поддержки безопасности curl можно ознакомиться на соответствующей странице отслеживания безопасности по адресу https://security-tracker.debian.org/tracker/curl