Информация по безопасности / 2017 / Информация о безопасности -- DSA-4051-1 curl

Рекомендация Debian по безопасности

DSA-4051-1 curl -- обновление безопасности

Дата сообщения:

29.11.2017

Затронутые пакеты:

curl

Уязвим:

Да

Ссылки на базы данных по безопасности:

В каталоге Mitre CVE: CVE-2017-8816, CVE-2017-8817.

Более подробная информация:

В cURL, библиотеке передачи URL, были обнаружены две уязвимости.

• CVE-2017-8816

  Алекс Николс обнаружил переполнение буфера в коде NTLM-аутентификации, которое может возникать при использовании 32-битных систем, на которых может происходить переполнение динамической памяти при вычислении размера выделяемого буфера памяти.

• CVE-2017-8817

  Фаззинг-тестирование, проведённое проектом OSS-Fuzz, привело к обнаружению чтения за границами выделенного буфера в функции шаблонизации FTP в libcurl. Вредоносный сервер может перенаправлять клиента, использующего libcurl, на URL, использующий шаблон, что вызывает чтение за границами выделенного буфера памяти.

В предыдущем стабильном выпуске (jessie) эти проблемы были исправлены в версии 7.38.0-4+deb8u8.

В стабильном выпуске (stretch) эти проблемы были исправлены в версии 7.52.1-5+deb9u3.

Рекомендуется обновить пакеты curl.

С подробным статусом поддержки безопасности curl можно ознакомиться на соответствующей странице отслеживания безопасности по адресу https://security-tracker.debian.org/tracker/curl