MagicLinux 7curl-7.29.0-25.0.1.el7.AXS7 (AXSA:2015-843:01)
critical Nessus 插件 ID 289422
语言：
简介
远程iraclelinux 主机缺少一个或多个安全更新。描述
远程iraclelinux 7 主机上存在安装的程序包该程序包受到 AXSA:2015-843:01 公告中提及的多个漏洞的影响。curl 是用于传输采用 URL 语法的数据的命令行工具支持 FTP、FTPS、HTTP、HTTPS、SCP、SFTP、TFTP、TELNET、DICT、LDAP、LDAPS、FILE、IMAP、SMTP、POP3 和 RTSP。 curl 支持 SSL 证书、HTTP POST、HTTP PUT、FTP 上传、HTTP 基于表单的上传、代理、Cookie、用户密码认证基本、摘要、NTLM、协商、kerberos...、文件传输恢复、代理隧道和总线加载其他有用的技巧。
此版本修复的安全问题
CVE-2014-3613 低于 7.38.0 的 cURL 和 libcurl 未正确处理 Cookie 域名中的 IP 地址这允许远程攻击者为某些站点设置 Cookie 或向其发送任意 Cookie如 192.168.0.1 的站点为 127.168.0.1[ 的站点设置 Cookie 。
CVE-2014-3707 通过 CURLOPT_COPYPOSTFIELDS 选项运行时libcurl 7.17.1 到 7.38.0中的 curl_easy_duphandle 函数未正确复制 HTTP POST 数据以进行简单处理从而触发允许远程 Web 服务器读取敏感内存的越界读取信息。
CVE-2014-8150 libcurl 中的 CRLF 注入漏洞使用 HTTP 代理时 6.07.x ] 之前的 到 7.40.0会允许远程攻击者通过 URL 中的 CRLF 序列注入任意 HTTP 标头并进行 HTTP 响应拆分攻击。
CVE-2015-3143 cURL 和 libcurl 7.10.6 到 7.41.0 未正确重复使用 NTLM 连接这允许远程攻击者通过未经认证的请求以其他用户身份连接此问题与 CVE-2014-0015类似。
CVE-2015-3148 cURL 和 libcurl 7.10.6 到 7.41.0 未正确重复使用经认证的协商连接这允许远程攻击者通过请求以其他用户身份连接。
修复的缺陷：
* 通过 libcurl 可以协议外的方式回退到 SSL 3.0。攻击者可滥用回退以强制 SSL 版本降级。已从 libcurl 中删除该回退。需要此功能的用户可以通过 libcurl API 明确启用 SSL 3.0。
* libcurl 中不再默认禁用 TLS 1.1 和 TLS 1.2。可通过 libcurl API 明确禁用。
* 完成 FTP 操作（例如下载文件）需要花费相当长的时间。现在，libcurl 中的 FTP 实现为连接正确设置了阻断指示和估算超时，从而加快了 FTP 传输。
增强：
* 通过更新后的程序包，可以明确启用或禁用将用于 TLS 协议的高级加密标准 (AES) 加密套件。
* libcurl 库未实现非阻塞 SSL 握手，这将会对基于 libcurl 多个 API 的应用程序的性能产生负面影响。非阻塞 SSL 握手现已在 libcurl 中实现，并且当其无法从底层网络套接字中读取数据或向其写入数据时，libcurl 多个 API 可立即将控制返回给应用程序。
* libcurl 库为不具有活动文件描述符的操作（甚至短操作）使用了不必要的长阻断延迟。某些操作（例如使用 /etc/hosts 解决主机名）需要花费很长时间才能够完成。已修改 libcurl 中的阻断代码，缩短了初始延迟并且直至事件发生时才会逐渐延长。
Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的 curl、libcurl 和/或 libcurl-devel 程序包。另见
插件详情
严重性: Critical
ID: 289422
文件名: miracle_linux_AXSA-2015-843.nasl
版本: 1.1
类型: local
发布时间: 2026/1/16
最近更新时间: 2026/1/16
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: High
分数: 7.4
Vendor
Vendor Severity: Moderate
CVSS v2
风险因素: Medium
基本分数: 5
时间分数: 3.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS 分数来源: CVE-2015-3148
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:miracle:linux:curl, cpe:/o:miracle:linux:7, p-cpe:/a:miracle:linux:libcurl-devel, p-cpe:/a:miracle:linux:libcurl
必需的 KB 项: Host/local_checks_enabled, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list, Host/cpu
易利用性: No known exploits are available
补丁发布日期: 2015/12/1
漏洞发布日期: 2014/9/11
参考资料信息
CVE: CVE-2014-3613, CVE-2014-3707, CVE-2014-8150, CVE-2015-3143, CVE-2015-3148
IAVB: 2016-B-0054-S