更新后的 curl 程序包修复了两个安全问题和多个缺陷，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

cURL 提供 libcurl 库和命令行工具，用于从使用多种协议（包括 HTTP、FTP 和 LDAP）的服务器下载文件。

已发现当使用以下协议之一时，libcurl 可错误地将现有连接重新用于本应使用其他凭据或没有认证凭据的请求：具有 NTLM 认证、LDAP(S)、SCP 或 SFTP 的 HTTP(S)。如果使用 libcurl 库的应用程序通过某些认证凭据连接至远程服务器，则该缺陷可导致其他请求使用这些相同的凭据。（CVE-2014-0015、CVE-2014-0138）

Red Hat 在此感谢 cURL 项目报告这些问题。上游感谢 CVE-2014-0015 的原始报告者 Paras Sethia，感谢 Yehezkel Horowitz 发现了该问题对安全的影响，并感谢 CVE-2014-0138 的原始报告者 Steve Holme。

此更新还修复以下缺陷：

* 以前，libcurl 库在没有首先使用套接字终止 SSL 连接的情况下，关闭网络套接字。这导致关闭之后写入，以及随后泄漏由 SSL 库动态分配的内存。上游修补程序已应用于 libcurl 以修复此缺陷。因此，不再发生关闭后写入，并且 SSL 库不再泄漏内存。(BZ#1092479)

* 以前，libcurl 库未实现非阻塞 SSL 握手，这会对基于 libcurl 的多 API 的应用程序的性能产生负面影响。为了修复此缺陷，libcurl 已实现非阻塞 SSL 握手。通过此更新，当 libcurl 的多 API 不能从/向底层网络套接字读取/写入数据时，就会立即将控制返回给应用程序。(BZ#1092480)

* 以前，由于在构建期间运行的上游测试套件存在过期 cookie，不能从源中重新构建 curl 程序包。已应用上游修补程序，以推迟 Cookie 的到期日期，这实现了从源再次重新构建该程序包的可能性。(BZ#1092486)

* 以前，当服务器提供 Kerberos 认证方法时，libcurl 库尝试使用此类方法进行认证。当服务器提供多种认证方法且 Kerberos 不是被选中的认证方法时，就会出现问题。上游修补程序已应用于 libcurl 以修复此缺陷。现在，如果 libcurl 选择其他认证方法，则不再使用 Kerberos 认证。(BZ#1096797)

建议所有 curl 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动所有使用 libcurl 且正在运行的应用程序才能使此更新生效。

检测

CentOS 6：curl (CESA-2014:0561)

medium Nessus 插件 ID 74227

未找到变更日志