RHEL 7：curl (RHSA-2015:2159)
critical Nessus 插件 ID 86934
语言：
简介
远程 Red Hat 主机缺少一个或多个安全更新。描述
远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2015:2159 公告中提及的多个漏洞的影响。curl 程序包提供了 libcurl 库和 curl 实用工具，用于从使用多种协议（包括 HTTP、FTP 和 LDAP）的服务器下载文件。
已发现在解析接收的 HTTP Cookie 时，libcurl 库未正确处理部分文本 IP 地址。能够诱骗用户连接到恶意服务器的攻击者可利用此缺陷将用户的 cookie 设置为构建的域，从而使其他与 cookie 相关的问题更容易被利用。 (CVE-2014-3613)
在 libcurl 库执行连接句柄的复制的方式中发现一个缺陷。如果应用程序设置了句柄的 CURLOPT_COPYPOSTFIELDS 选项，使用该句柄的副本可导致该应用程序崩溃或泄露其部分内存。 (CVE-2014-3707)
已发现 libcurl 库无法正确处理含有嵌入行尾字符的 URL。如果攻击者能够通过 HTTP 代理使使用 libcurl 的应用程序访问特制 URL，则可利用此缺陷将其他标头注入到请求中，或构造其他请求。 (CVE-2014-8150)
已发现，libcurl 未正确执行 NTLM 和 Negotatiate 验证的各个方面。如果应用程序以特定方式使用 libcurl 和受影响的机制，将会出现由错误认证用户发送的对之前 NTLM 认证服务器的某些请求。此外，尽管指定了一组不同的凭据，但可在后续请求中重复使用经 HTTP 协商认证的请求的一组初始凭据。 （CVE-2015-3143， CVE-2015-3148）
Red Hat 在此感谢 cURL 项目报告这些问题。
错误修复：
* 通过 libcurl 可以协议外的方式回退到 SSL 3.0。
攻击者可滥用回退以强制 SSL 版本降级。
已从 libcurl 中删除该回退。需要此功能的用户可以通过 libcurl API 明确启用 SSL 3.0。
(BZ#1154060)
* libcurl 中不再默认禁用 TLS 1.1 和 TLS 1.2。您可以通过 libcurl API 明确禁用它们。 (BZ#1170339)
* 完成 FTP 操作（例如下载文件）需要花费相当长的时间。现在，libcurl 中的 FTP 实现正确设置阻止方向和估计的连接超时，从而加快 FTP 传输。 (BZ#1218272)
增强：
* 借助更新后的程序包，可以明确启用或禁用用于 TLS 协议的新高级加密标准 (AES) 加密套件。 (BZ#1066065)
* libcurl 库未实现非阻塞 SSL 握手，这将会对基于 libcurl 多个 API 的应用程序的性能产生负面影响。已在 libcurl 中实现非阻塞 SSL 握手，而且当应用程序无法从底层网络套接字读取或写入数据时，libcurl multi API 现在会立即将控制权交还给应用程序。 (BZ#1091429)
* libcurl 库为不具有活动文件描述符的操作（甚至短操作）使用了不必要的长阻断延迟。某些操作（例如使用 /etc/hosts 解决主机名）需要花费很长时间才能够完成。已修改 libcurl 中的阻断代码，缩短了初始延迟并且直至事件发生时才会逐渐延长。
(BZ#1130239)
建议所有 curl 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并添加了这些增强。
Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的 curl、libcurl 和/或 libcurl-devel 程序包。另见
http://www.nessus.org/u?1111e4f9
https://access.redhat.com/errata/RHSA-2015:2159
https://access.redhat.com/security/updates/classification/#moderate
https://bugzilla.redhat.com/show_bug.cgi?id=1130239
https://bugzilla.redhat.com/show_bug.cgi?id=1136154
https://bugzilla.redhat.com/show_bug.cgi?id=1154060
https://bugzilla.redhat.com/show_bug.cgi?id=1154941
https://bugzilla.redhat.com/show_bug.cgi?id=1161182
https://bugzilla.redhat.com/show_bug.cgi?id=1166264
https://bugzilla.redhat.com/show_bug.cgi?id=1170339
https://bugzilla.redhat.com/show_bug.cgi?id=1178692
https://bugzilla.redhat.com/show_bug.cgi?id=1213306
插件详情
严重性: Critical
ID: 86934
文件名: redhat-RHSA-2015-2159.nasl
版本: 2.12
类型: local
代理: unix
发布时间: 2015/11/19
最近更新时间: 2025/4/15
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
风险信息
VPR
风险因素: High
分数: 7.4
Vendor
Vendor Severity: Moderate
CVSS v2
风险因素: Medium
基本分数: 5
时间分数: 3.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS 分数来源: CVE-2015-3148
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:redhat:enterprise_linux:curl, p-cpe:/a:redhat:enterprise_linux:libcurl-devel, p-cpe:/a:redhat:enterprise_linux:libcurl
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
易利用性: No known exploits are available
补丁发布日期: 2015/11/19
漏洞发布日期: 2014/11/15
参考资料信息
CVE: CVE-2014-3613, CVE-2014-3707, CVE-2014-8150, CVE-2015-3143, CVE-2015-3148