Рекомендация Debian по безопасности

DSA-4051-1 curl -- обновление безопасности

Дата сообщения:
29.11.2017
Затронутые пакеты:
curl
Уязвим:
Да
Ссылки на базы данных по безопасности:
В каталоге Mitre CVE: CVE-2017-8816, CVE-2017-8817.
Более подробная информация:

В cURL, библиотеке передачи URL, были обнаружены две уязвимости.

  • CVE-2017-8816

    Алекс Николс обнаружил переполнение буфера в коде NTLM-аутентификации, которое может возникать при использовании 32-битных систем, на которых может происходить переполнение динамической памяти при вычислении размера выделяемого буфера памяти.

  • CVE-2017-8817

    Фаззинг-тестирование, проведённое проектом OSS-Fuzz, привело к обнаружению чтения за границами выделенного буфера в функции шаблонизации FTP в libcurl. Вредоносный сервер может перенаправлять клиента, использующего libcurl, на URL, использующий шаблон, что вызывает чтение за границами выделенного буфера памяти.

В предыдущем стабильном выпуске (jessie) эти проблемы были исправлены в версии 7.38.0-4+deb8u8.

В стабильном выпуске (stretch) эти проблемы были исправлены в версии 7.52.1-5+deb9u3.

Рекомендуется обновить пакеты curl.

С подробным статусом поддержки безопасности curl можно ознакомиться на соответствующей странице отслеживания безопасности по адресу https://security-tracker.debian.org/tracker/curl