Debian DSA-4881-1：curl - 安全更新
high Nessus 插件 ID 148277
语言：
简介
远程 Debian 主机缺少与安全相关的更新。描述
在 URL 传输库 cURL 中发现多个漏洞：- CVE-2020-8169 Marek Szlagor 报告称，可诱骗 libcurl 库在解决前向主机名预加部分密码，从而可能通过网络向 DNS 服务器泄漏部分密码。
- CVE-2020-8177 sn 报告称，在同一命令行中使用 -J (--remote-header-name) 和 -i (--include) 选项时，curl 可能会被恶意服务器诱骗覆盖本地文件。
- CVE-2020-8231 Marc Aldorasi 报告称，当使用 libcurl 的多 API 的应用程序设置选项 CURLOPT_CONNECT_ONLY 时，libcurl 可能使用错误的连接，从而导致信息泄漏。
- CVE-2020-8284 Varnavas Papaioannou 报告称，恶意服务器可使用 PASV 响应诱骗 curl 重新连接任意 IP 地址和端口，这可能会让 curl 提取有关非公开且不应披露的服务的信息。
- CVE-2020-8285 xnynx 报告称，使用 FTP 通配符匹配功能 (CURLOPT_CHUNK_BGN_FUNCTION) 时，libcurl 可能耗尽堆栈空间。
- CVE-2020-8286 据报告，libcurl 未验证 OCSP 响应是否真正匹配其预期证书。
- CVE-2021-22876 Viktor Szakats 报告称，libcurl 在自动填充出站 HTTP 请求中的 Referer HTTP 请求标头字段时未从 URL 剥离用户凭据。
- CVE-2021-22890 Mingtao Yang 报告称，使用 HTTPS 代理和 TLS 1.3 时，libcurl 会混淆从 HTTPS 代理收到的会话票证，如同这些票证来自于远程服务器。这允许 HTTPS 代理诱骗 libcurl 针对主机使用错误的会话票证，从而规避服务器 TLS 证书检查。
解决方案
升级 curl 程序包。对于稳定发行版本 (buster)，已在版本 7.64.0-4+deb10u2 中修复这些问题。
另见
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=965280
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=965281
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=968831
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=977161
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=977162
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=977163
https://security-tracker.debian.org/tracker/CVE-2020-8169
https://security-tracker.debian.org/tracker/CVE-2020-8177
https://security-tracker.debian.org/tracker/CVE-2020-8231
https://security-tracker.debian.org/tracker/CVE-2020-8284
https://security-tracker.debian.org/tracker/CVE-2020-8285
https://security-tracker.debian.org/tracker/CVE-2020-8286
https://security-tracker.debian.org/tracker/CVE-2021-22876
https://security-tracker.debian.org/tracker/CVE-2021-22890
https://security-tracker.debian.org/tracker/source-package/curl
插件详情
严重性: High
ID: 148277
文件名: debian_DSA-4881.nasl
版本: 1.11
类型: local
代理: unix
发布时间: 2021/4/1
最近更新时间: 2024/1/16
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: Medium
基本分数: 5
时间分数: 3.9
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS 分数来源: CVE-2021-22876
CVSS v3
风险因素: High
基本分数: 7.8
时间分数: 7
矢量: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS 分数来源: CVE-2020-8177
漏洞信息
CPE: p-cpe:/a:debian:debian_linux:curl, cpe:/o:debian:debian_linux:10.0
必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可利用: true
易利用性: Exploits are available
补丁发布日期: 2021/3/30
漏洞发布日期: 2020/12/14
参考资料信息
CVE: CVE-2020-8169, CVE-2020-8177, CVE-2020-8231, CVE-2020-8284, CVE-2020-8285, CVE-2020-8286, CVE-2021-22876, CVE-2021-22890
DSA: 4881