Podatności curl

W curl w wersjach od 7.65.0 do 7.82.0 występuje podatność na ujawnienie informacji, która pozwala na ponowne wykorzystanie połączenia przy użyciu adresu IPv6 z innego identyfikatora strefy.

W curl w wersjach od 7.33.0 do 7.82.0 występuje podatność związana z niewłaściwą autoryzacją, która może pozwolić na ponowne użycie połączeń uwierzytelnionych OAUTH2 bez odpowiedniego sprawdzenia, czy połączenie zostało uwierzytelnione tymi samymi poświadczeniami. Dotyczy to protokołów z obsługą SASL: SMPTP(S), IMAP(S), POP3(S) oraz LDAP(S) (tylko openldap).

Gdy curl jest proszony o użycie pliku `.netrc` do uwierzytelnienia oraz o podążanie za przekierowaniami HTTP, może wyciec hasło użyte dla pierwszego hosta do hosta docelowego po przekierowaniu w pewnych okolicznościach. Problem występuje tylko, jeśli plik netrc zawiera wpis pasujący do hosta docelowego.

Gdy curl ma używać rozszerzenia TLS Certificate Status Request (OCSP stapling) do weryfikacji certyfikatu serwera, może nie wykryć niektórych problemów OCSP i błędnie uznać odpowiedź za poprawną, jeśli zwrócony status zgłasza inny błąd niż oczekiwany.

Gdy curl ma używać HSTS, czas wygaśnięcia dla subdomeny może nadpisać wpis w pamięci podręcznej domeny nadrzędnej, powodując wcześniejsze lub późniejsze wygaśnięcie niż zamierzono. Dotyczy to aplikacji używających HSTS i adresów URL z niebezpiecznym schematem HTTP://.

Gdy curl używa pliku .netrc do znalezienia poświadczeń i jednocześnie podano URL z nazwą użytkownika (bez hasła), curl może błędnie pobrać i użyć hasła innego użytkownika z .netrc dla tego hosta, jeśli nie ma dopasowania dla podanego użytkownika.

W bibliotece curl wykryto podwójne zwolnienie pamięci (double-free) w mechanizmie uwierzytelniania SASL. Błąd powoduje, że kontekst GSASL jest czyszczony dwukrotnie bez wyzerowania wskaźnika, co prowadzi do wywołania funkcji free() na tym samym obszarze pamięci.

Błąd w logice parsowania ciasteczek w curl pozwala złośliwemu serwerowi HTTP ustawiać "super cookies", które omijają sprawdzanie Public Suffix List, umożliwiając wstrzykiwanie ciasteczek do niepowiązanych domen trzecich.

Podatność CVE-2023-38545 dotyczy przepełnienia bufora w pamięci sterty podczas handshake'u proxy SOCKS5 w narzędziu curl. Problem występuje, gdy curl przekazuje zbyt długą nazwę hosta do proxy, co prowadzi do nieprawidłowego kopiowania danych.

Nagłówek Set-Cookie używający tabulatora (ASCII 9) zamiast spacji (ASCII 32) bezpośrednio przed atrybutem Secure powoduje, że curl zapisuje cookie bez flagi Secure. Cookie może być następnie błędnie wysyłane przez zwykły HTTP przy kolejnych żądaniach do tego samego hosta.

Podatność w curl powoduje, że przy użyciu schemeless URL z `--proto-default sftp` (lub scp) warstwa narzędzia pomija inicjalizację opcji bezpieczeństwa SSH, takich jak CURLOPT_SSH_HOST_PUBLIC_KEY_SHA256 i CURLOPT_SSH_KNOWNHOSTS, podczas gdy libcurl nawiązuje połączenie SFTP/SCP. W rezultacie curl łączy się z niezweryfikowanym hostem SSH bez zgłaszania błędu.

W curl brakuje górnego limitu alokacji pamięci dla niepotwierdzonych ramek WebSocket PING, co pozwala złośliwemu serwerowi na wyczerpanie całej dostępnej pamięci poprzez szybkie wysyłanie sekwencyjnych komunikatów PING.

Podatność w funkcji odbioru QUIC UDP w curl umożliwia złośliwemu serwerowi HTTP/3 wywołanie zdalnej odmowy usługi (DoS) na kliencie curl lub libcurl. Funkcja pomocnicza odrzuca puste datagramy UDP przed zliczeniem ich do budżetu pakietów na wywołanie, co pozwala połączonemu peerowi QUIC na ciągłe wysyłanie pustych datagramów, powodując nieokreślone blokowanie klienta.

curl może błędnie przekazać poświadczenia pierwszego proxy do drugiego proxy. Dzieje się tak, gdy: 1. curl jest skonfigurowany do używania różnych proxy dla różnych schematów URL, 2. pierwsze proxy wymaga poświadczeń, 3. drugie proxy nie używa poświadczeń, 4. podczas korzystania z pierwszego proxy (np. http://) curl jest proszony o podążenie za przekierowaniem do URL z innym schematem (np. https://), dostępnym przez drugie, inne proxy.

Gdy token bearer OAuth2 jest używany do transferu HTTP(S), a transfer wykonuje przekierowanie na drugi URL, curl może w pewnych okolicznościach wyciec ten token do drugiej nazwy hosta. Jeśli hostname, na który następuje przekierowanie, ma wpis w pliku .netrc ze słowem kluczowym machine lub default, curl przekaże token bearer ustawiony dla pierwszego hosta również do drugiego.

Podczas transferów SSH z użyciem SCP lub SFTP, gdy wymagane jest uwierzytelnianie kluczem publicznym, curl błędnie pyta i uwierzytelnia się przy użyciu lokalnie działającego agenta SSH.

Gdy token OAuth2 bearer jest używany do transferu HTTP(S) i transfer ten wykonuje przekierowanie między protokołami do drugiego URL używającego schematu IMAP, LDAP, POP3 lub SMTP, curl może błędnie przekazać token bearer do nowego hosta docelowego.

Przy użyciu opcji CURLOPT_PINNEDPUBLICKEY w libcurl lub --pinnedpubkey w narzędziu curl, curl powinien sprawdzać klucz publiczny certyfikatu serwera. Sprawdzenie to było pomijane w pewnym warunku, co pozwalało na nawiązanie połączenia bez weryfikacji i niezauważenie potencjalnego oszusta. Warunkiem było połączenie przez QUIC z ngtcp2 zbudowanym z GnuTLS oraz jawne wyłączenie standardowej weryfikacji certyfikatu.

W curl występuje błąd w logice porównywania ścieżek ciasteczek, który pozwala na odczyt poza granicą bufora sterty. Scenariusz obejmuje ciasteczko ustawione z atrybutem secure dla https://target, przekierowanie na http://target (ten sam host, jawny HTTP) i ponowne ustawienie tego samego ciasteczka ze ścieżką "/". Błąd powoduje awarię lub błędne wnioskowanie porównania, pozwalając niezabezpieczonej witrynie nadpisać zawartość bezpiecznego ciasteczka.

Kod WebSocket w curl nie aktualizował 32-bitowego wzorca maski dla każdej nowej wychodzącej ramki, zgodnie ze specyfikacją. Zamiast tego używał stałej maski przez cały czas trwania połączenia. Przewidywalny wzorzec maski umożliwia złośliwemu serwerowi wywołanie ruchu, który pośredniczące proxy może zinterpretować jako prawdziwy ruch HTTP i zatruć swój cache.

W curl 7.65.2 w pliku tool_operate.c występuje przepełnienie liczby całkowitej przy dużej wartości opóźnienia ponowienia (retry delay).