패치 공개 후 Curl 버그 과대 광고가 사라짐

패치 공개 후 Curl 버그 과대 광고가 사라짐

타임 스탬프 : 11 년 2023 월 4 일 오후 16:XNUMX
패치 적용 후 Curl 버그 과대 광고가 PlatoBlockchain 데이터 인텔리전스를 공개합니다. 수직 검색. 일체 포함.

며칠 동안 사이버 보안 커뮤니티는 Curl 창립자 Daniel Stenberg에 따르면 "오랫동안 최악의 컬 보안 결함"일 가능성이 있는 보안 결함이 포함된 두 가지 보안 결함에 대한 큰 공개를 초조하게 기다려 왔습니다.

Curl은 문자 그대로 수십억 개의 애플리케이션 인스턴스에 존재하는 다양한 프로토콜 간에 파일을 전송하는 "중개자"로 사용되는 오픈 소스 프록시 확인 도구입니다. 대규모 오픈 소스 라이브러리 결함에 대한 제안은 재앙적인 기억을 불러일으켰습니다. log4j 결함 Cycode의 보안 연구 책임자인 Alex Ilgayev는 "curl 라이브러리의 취약점은 2021년 전 Log4j 사건보다 더 어려운 것으로 판명될 수 있습니다."라고 걱정했습니다.

하지만 오늘에 이어 패치 및 버그 세부 정보 공개, 어느 취약점도 과대 광고에 부응하지 못했습니다.

제한된 수의 Curl 배포에 영향을 미침

첫 번째 취약점, 힙 기반 버퍼 오버플로 결함 CVE-2023-38545로 추적된 이 파일은 데이터 손상이나 원격 코드 실행(RCE) 가능성으로 인해 "높음" 등급으로 지정되었습니다. 권고에 따르면 문제는 SOCKS5 프록시 핸드오프에 있습니다.

“curl 자체가 주소를 확인하는 대신 주소를 확인할 수 있도록 컬이 호스트 이름을 SOCKS5 프록시에 전달하도록 요청하는 경우 호스트 이름의 최대 길이는 255바이트입니다.”라고 권고문은 명시했습니다. "호스트 이름이 255바이트보다 긴 것으로 감지되면 컬은 로컬 이름 확인으로 전환하고 대신 확인된 주소를 프록시에만 전달합니다."

이 버그로 인해 SOCKS5 핸드셰이크 중에 잘못된 값이 전달될 수 있습니다.

“버그로 인해 '호스트가 이름을 확인하도록 허용'을 의미하는 로컬 변수가 느린 SOCKS5 핸드셰이크 중에 잘못된 값을 얻을 수 있으며, 의도와는 달리 너무 긴 호스트 이름을 대상 버퍼에 복사합니다. 그곳에서 주소가 해결되었습니다.”라고 권고는 덧붙였습니다.

그러나 높은 심각도 지정은 배포의 일부에만 적용된다고 사이버 보안 전문가인 Jake Williams는 말합니다.

Williams는 “이는 매우 제한된 상황에서만 심각도가 높은 수준입니다.”라고 말합니다. “라이브러리 취약점이 있을 때 라이브러리가 어떻게 사용되고 있는지 아는 것이 문제라고 생각합니다. 구현을 위해서는 최악의 시나리오를 가정하여 CVE를 할당해야 합니다.”

CVE-2023-38546으로 추적된 두 번째 컬 버그는 컬 자체가 아닌 libcurl 라이브러리에만 영향을 미치는 심각도가 낮은 쿠키 주입 결함입니다.

앤디 호네골드는 컬 버그 세부 정보 공개에 대한 반응으로 “신뢰할 수 없는 콘텐츠를 가져오고 종종 내부적으로 컬을 사용하는 보안 장치와 가전제품에 더 큰 문제라고 생각합니다.”라고 말했습니다. "독립형 사용에는 큰 문제가 되지 않습니다."

수정을 과대광고하는 것의 위험

사이버 보안 팀의 속쓰림을 넘어 기술 세부 사항이 공개되기 전에 수정 사항을 홍보하면 위협 행위자에게 쉽게 승리할 수 있습니다. 이 사례에서 Williams는 RedHat이 공식 컬 릴리스에 앞서 변경 로그를 업데이트했다고 지적합니다. 이는 취약점이 이전에 가정했던 것만큼 위험했다면 사이버 공격자에게 패치되지 않은 대상에 대한 중요한 정보를 제공할 수 있었을 것입니다.

실제로 Synopsys의 Mike McGuire는 컬 업데이트에 대한 과도한 관심의 위험성을 확인하고 이에 대해 9월 XNUMX일 블로그에 썼습니다.

McGuire는 “취약성에 대한 추가 세부 정보가 없음에도 불구하고 위협 행위자는 의심할 여지 없이 공격 시도를 시작할 것입니다.”라고 썼습니다. "또한 공격자가 취약한 소프트웨어를 패치하기 위해 애쓰는 팀을 이용하기 위해 맬웨어로 가득 찬 프로젝트의 가짜 '수정' 버전을 게시하는 경우도 드물지 않습니다."

타임 스탬프 :

더보기 어두운 독서