パッチ適用後にカールバグの誇大広告が消える

パッチ適用後にカールバグの誇大広告が消える

タイムスタンプ：11年2023月4日16:XNUMX
パッチ適用後にカールバグの誇大広告が消えて、PlatoBlockchain データインテリジェンスが明らかになりました。垂直検索。あい。

ここ数日、サイバーセキュリティ コミュニティは XNUMX つのセキュリティ上の欠陥に関する大規模な暴露を心配して待っていました。その中には、カールの創設者ダニエル ステンバーグ氏によると、その中には「長い間で最悪のカール セキュリティ上の欠陥」である可能性が高いものが含まれていました。

Curl は、文字通り数十億のアプリケーション インスタンスに存在する、さまざまなプロトコル間でファイルを転送するための「仲介者」として使用されるオープン ソースのプロキシ解決ツールです。 オープンソース ライブラリの大規模な欠陥の示唆は、壊滅的な出来事の記憶を呼び起こしました。 log4jの欠陥 Cycode のセキュリティ研究責任者 Alex Ilgayev 氏は、「curl ライブラリの脆弱性は、2021 年前の Log4j インシデントよりも困難であることが判明するかもしれない」と懸念しています。

でも今日に続いて パッチとバグの詳細の公開、どちらの脆弱性も誇大宣伝に応えませんでした。

限られた数の Curl デプロイメントに影響を与える

最初の脆弱性、 ヒープベースのバッファオーバーフローの欠陥 CVE-2023-38545 に基づいて追跡され、データ破損またはリモート コード実行 (RCE) の可能性があるため、「高」の評価が割り当てられました。 アドバイザリーによると、問題はSOCKS5のプロキシハンドオフにあるという。

「curl 自体がアドレスを解決するのではなく、アドレス解決を可能にするために、curl がホスト名を SOCKS5 プロキシに渡すように要求された場合、ホスト名に指定できる最大長は 255 バイトです」と勧告には記載されています。 「ホスト名が 255 バイトより長いことが検出された場合、curl はローカル名解決に切り替え、代わりに解決されたアドレスをプロキシにのみ渡します。」

このバグにより、SOCKS5 ハンドシェイク中に間違った値が渡される可能性があります。

「バグにより、「ホストに名前を解決させる」ことを意味するローカル変数は、遅い SOCKS5 ハンドシェイク中に間違った値を取得する可能性があり、意図に反して、長すぎるホスト名がターゲット バッファにコピーされる可能性があります。そこで住所を解決しました」と勧告は付け加えた。

しかし、サイバーセキュリティ専門家のジェイク・ウィリアムズ氏は、高重大度の指定は導入の一部にのみ適用されると述べている。

「これは非常に限られた状況でのみ重大度が高くなります」とウィリアムズ氏は言う。 「ライブラリに脆弱性があるときに、そのライブラリがどのように使用されているかを知っていることが問題だと思います。 実装の最悪のシナリオを想定して CVE を割り当てる必要があります。」

2023 番目のカールのバグは CVE-38546-XNUMX で追跡されており、重大度の低い Cookie インジェクションの欠陥であり、curl 自体ではなく、libcurl ライブラリにのみ影響します。

「これは、セキュリティ デバイスやアプライアンス（信頼できないコンテンツを取得し、内部でカールを使用することが多い）にとってはより大きな問題だと思います」とアンディ ホーネゴールド氏は、カールのバグの詳細のリリースに反応した声明の中で述べた。 「スタンドアロンで使用する場合には大きな問題にはならないと思います。」

修正を誇大宣伝する危険性

技術的な詳細が公開される前に修正を誇大宣伝することは、サイバーセキュリティ チームの胸焼けを超えて、攻撃者に楽勝を与える可能性があります。 この例で、Williams 氏は、RedHat が正式なカールのリリースに先立って変更ログを更新したことを指摘し、脆弱性が以前に想定されていたほど危険なものであった場合、これによってパッチが適用されていないターゲットに関する重要な情報がサイバー攻撃者に与えられた可能性があります。

実際、シノプシスのマイク・マクガイア氏は、カールのアップデートに対する注目が高まることの危険性を認識し、それについて 9 月 XNUMX 日のブログに書きました。

「脆弱性に関する追加の詳細はないにもかかわらず、脅威アクターは間違いなく悪用の試みを開始するでしょう」とマクガイア氏は書いています。 「さらに、攻撃者が、脆弱なソフトウェアにパッチを当てようと急いでいるチームを利用して、マルウェアだらけのプロジェクトの偽の「修正」バージョンを投稿することも前例のないことではありません。」

タイムスタンプ：

より多くの 暗い読書