远程iraclelinux 7 主机上存在安装的程序包该程序包受到 AXSA:2017-2424:02 公告中提及的漏洞的影响。

    * 在 libcurl 的 IMAP handler 中发现缓冲区溢出缺陷。通过诱骗没有防备的用户连接到恶意 IMAP 服务器攻击者可利用此缺陷可能造成信息泄露或应用程序崩溃。 (CVE-2017-1000257) Asianux 在此感谢 Curl 项目报告此问题。上游感谢原始报告者 Brian Carpenter 和 OSS-Fuzz 项目。
    CVE-2017-1000257 IMAP FETCH 响应行指示返回数据的大小以字节为单位。当该响应指出数据为零字节时libcurl 会将该不存在的带有指针和大小零的数据传递到交付数据函数。 libcurl 的 deliver-data 函数将零视为幻数会对数据调用 strlen() 以计算长度。在可能未以零结尾的基于堆的缓冲区上调用 strlen()因此 libcurl 可能会将超出其结尾的部分读取到其后的任何内存中或导致崩溃然后将其交付给应用程序如同实际下载一样。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

MagicLinux 7curl-7.29.0-42.el7.1 (AXSA:2017-2424:02)

critical Nessus 插件 ID 289854

版本 1.1