Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Curl a libcurl opravují 2 zranitelnosti

Curl verzí 8.9.0 opravuje 2 zranitelnosti v produktech curl a libcurl [1][2]. Z operačních systémů zatím vydal opravu pouze Debian, a to pro vydání sid ve verzi 8.9.0-1, ostatní vydání Debianu a všechna vydání Ubuntu zranitelnostmi nejsou postižena [3][4][5][6].

Curl - memory over-write (CVE-2024-6197)
CVSS 7.5 (High)

Neautentizovanému vzdálenému útočníkovi je umožněno pomocí speciálně vytvořeného TLS certifikátu webové stránky způsobit pád aplikace, případně za určitých okolností vzdálené spuštění kódu. Instance je zranitelná pouze v případě, že využívá GnuTLS, wolfSSL, Schannel nebo Secure Transport TLS backend [1].

Zranitelnost se nachází v produktu:

  • Curl; >=8.6.0, <8.9.0;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

Zranitelnost byla veřejně oznámena 24. 7. 2024.

Curl - memory over-read (CVE-2024-6874)
CVSS 4.3 (Medium)

Neautentizovanému vzdálenému útočníkovi je umožněno přistupovat k potenciálně citlivým údajům omezené délky, pocházejícím ze zásobníku, použitím speciálně vytvořeného jména webové stránky. Instance je zranitelná pouze v případě, že využívá některý z operačních systémů od Apple a "macidn" IDN backend [2].

Zranitelnost se nachází v produktu:

  • Curl; >=8.8.0, <8.9.0;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 24. 7. 2024.

Za CESNET, z.s.p.o. Martin Krajči dne 26. 7. 2024.

CESNET, z.s.p.o. Logo