炒作的卷曲脆弱性达不到预期

curl

curl 8.4.0已经发布，用于修补和发布一个被大肆宣传的高严重性安全漏洞(CVE-2023-38546)的细节，缓解了一周以来对该漏洞严重性的担忧。

Curl是一个命令行实用程序，允许您通过各种协议传输数据，最常用的是连接到网站。一个associated
libcurl图书馆
使开发人员能够将curl合并到他们的应用程序中，以获得简单的文件传输支持。

10月4日，curl开发者Daniel Stenberg警告说，curl 8.4.0的开发周期将被缩短，新版本将于10月11日发布，以解决一个漏洞，并警告说这是很长一段时间以来看到的最严重的curl安全漏洞。

“我们正在缩短发布周期，并将在下周发布curl 8.4.0。
10月11日
包括修复严重程度高的CVE和一个严重程度低的CVE，”Stenberg解释说。

“一个被评为高的可能是很长一段时间以来最严重的curl安全漏洞。”

由于curl和libcurl在许多库和应用程序中被广泛使用，并且几乎与每个操作系统捆绑在一起，因此这一声明在社交媒体上引发了许多文章和帖子，人们担心它会产生广泛的影响，并使许多设备处于危险之中。

没有我们担心的那么糟

周三，Stenberg发布了curl 8.4.0，修复了两个安全漏洞:一个严重的堆缓冲区溢出漏洞(CVE-2023-38545)和一个低严重的cookie注入漏洞(CVE-2023-38546)。

Stenberg提供的高级警告的缺陷是curl的SOCKS5代理协议实现中的高严重性堆缓冲区溢出。

“与发布
旋度8.4.0
，我们发布了一份安全公告和所有详细信息。
cve - 2023 - 38545
”,,
解释斯坦伯格
．

“这个问题是很长一段时间以来curl中发现的最严重的安全问题。我们将其设置为严重性。
高
”。

A
堆缓冲区溢出
错误是指程序错误地允许向分配的内存区域写入超过其容量的数据。这会导致输入的数据覆盖其他内存区域并损坏数据，从而导致应用程序崩溃，并可能导致远程代码执行。

虽然这个缺陷确实有可能影响到curl用户，但
利用漏洞的需求
使它比最初预期的要小得多，因为它要求在与远程站点建立连接时将curl客户端配置为使用SOCKS5代理，并启用自动重定向。

此外，成功利用该漏洞还有时间要求，需要到远程站点的慢速SOCKS5连接。

如果Curl本身无法解析地址，它将主机名传递给SOCKS5代理。但是，可以传递的主机名的最大长度是255字节。”
红帽咨询
在缺陷上。

“如果主机名较长，那么Curl切换到本地名称解析，并将解析后的地址仅传递给代理。”

指示Curl '让主机解析名称'的本地变量可能在缓慢的SOCKS5握手期间获得错误的值，导致太长的主机名被复制到目标缓冲区，而不是解析的地址，这不是预期的行为。

为了利用这个漏洞，攻击者可以创建一个网站，将访问者重定向到一个很长的主机名(想想数千个字符)，这将导致输入的数据触发堆缓冲区溢出错误并使程序崩溃。

虽然很容易被利用，但研究人员告诉BleepingComputer，现有的概念验证漏洞只会导致curl崩溃，导致拒绝服务攻击，而不是代码执行。

此外，由于大多数使用curl的用户不是通过SOCKS5进行连接，因此该错误不会影响到他们。

CVE-2023-38545漏洞可能对网络安全研究人员和开发人员有用。

黑客之家(Hacker House)联合创始人兼安全研究员马修·希基(Matthew hickey)
hackerfantastic
)告诉BleepingComputer，网络安全研究人员和开发人员使用SOCKS5代理来请求api是很常见的。

Hickey在一次对话中告诉BleepingComputer:“它需要使用socks5代理来启用curl用户，当人们请求API进行安全测试、调试或其他技术工作时，这实际上是相当常见的——当使用curl等工具探测Tor服务时，这也很常见，因为它通常需要socks5代理来执行请求。”

“同样，不良字符要求也不是什么大问题，因为漏洞可以由HTTP 302响应触发，这意味着攻击者完全控制他们提供的字符，不需要像其他人暗示的那样狡猾或聪明。”

虽然希基认为这是一个复杂的漏洞，需要时间和精力来适当地武器化，但他建议用户升级到新版本以修补漏洞以确保安全。

此外，随着越来越多的研究人员仔细分析漏洞，可能会开发出更复杂的漏洞，从而导致代码执行。