CVE-2022-32221
KrytyczneStreszczenie
Podatność CVE-2022-32221 dotyczy biblioteki libcurl, która może błędnie używać funkcji zwrotnej do odczytu danych (`CURLOPT_READFUNCTION`) podczas transferów HTTP(S), nawet gdy ustawiono opcję `CURLOPT_POSTFIELDS`. Problem występuje, gdy ten sam uchwyt był wcześniej używany do żądania `PUT`, co może prowadzić do wysyłania niewłaściwych danych lub używania pamięci po jej zwolnieniu w kolejnych żądaniach `POST`.
Ocena ryzyka
Ta podatność może prowadzić do nieprzewidywalnego zachowania aplikacji, co z kolei może skutkować wysyłaniem błędnych danych lub naruszeniem integralności pamięci. Może to wpłynąć na bezpieczeństwo i stabilność systemów korzystających z libcurl.
Rekomendacja
Zaleca się aktualizację biblioteki libcurl do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, należy unikać ponownego używania uchwytów w różnych typach żądań bez odpowiedniej walidacji.
Oryginalny opis (angielski, źródło NVD)
When doing HTTP(S) transfers, libcurl might erroneously use the read callback (`CURLOPT_READFUNCTION`) to ask for data to send, even when the `CURLOPT_POSTFIELDS` option has been set, if the same handle previously was used to issue a `PUT` request which used that callback. This flaw may surprise the application and cause it to misbehave and either send off the wrong data or use memory after free or similar in the subsequent `POST` request. The problem exists in the logic for a reused handle when it is changed from a PUT to a POST.