curl 7.51.0 之前版本在主机名称部分以“#”字符结尾时，无法正确解析 URL 的颁发机构组件，反而可能会受到诱骗连接到其他主机。例如，如果您使用的 URL 解析器在使用 curl 请求允许的域之前，会根据 RFC 进行检查，就可能会带来安全隐患。(CVE-2016-8624) 影响 当域名以井号 (#) 结尾时，cURL 无法正确解析 URL 的颁发机构组件，且可能会受到诱骗连接到其他主机。例如：http://f5.com#@example.com/x.txt。若要利用此漏洞，cURL 必须解析格式错误的 URL。BIG-IP 系统会将 cURL/libcurl 用于 IMAP、FTP、POP3、SMTP、Windows WMI、RealServer 和包含 cURL 的自定义外部监控程序。在 BIG-IP 系统中，cURL 实用工具的访问权限仅限于经过本地身份验证的用户。

检测

F5 Networks BIG-IP：cURL 和 libcurl 漏洞 (K85235351)

high Nessus 插件 ID 105445

版本 3.7