Bulletin d'alerte Debian
DSA-3122-1 curl -- Mise à jour de sécurité
- Date du rapport :
- 8 janvier 2015
- Paquets concernés :
- curl
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le dictionnaire CVE du Mitre : CVE-2014-8150.
- Plus de précisions :
-
Andrey Labunets de Facebook a découvert que cURL, une bibliothèque de transfert par URL, échouait à traiter correctement les URL avec des caractères de fin de ligne incorporés. Un attaquant capable de faire qu'une application utilisant libcurl accède à une URL contrefaite pour l'occasion à l'aide d'un mandataire (« proxy ») HTTP pourrait utiliser ce défaut pour adresser des requêtes supplémentaires d'une manière non prévue, ou insérer des en-têtes de requêtes supplémentaires dans la requête.
Pour la distribution stable (Wheezy), ce problème a été corrigé dans la version 7.26.0-1+wheezy12.
Pour la prochaine distribution stable (Jessie), ce problème sera corrigé prochainement.
Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 7.38.0-4.
Nous vous recommandons de mettre à jour vos paquets curl.