远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2015:2159 公告中提及的多个漏洞的影响。

    curl 程序包提供了 libcurl 库和 curl 实用工具，用于从使用多种协议（包括 HTTP、FTP 和 LDAP）的服务器下载文件。

    已发现在解析接收的 HTTP Cookie 时，libcurl 库未正确处理部分文本 IP 地址。能够诱骗用户连接到恶意服务器的攻击者可利用此缺陷将用户的 cookie 设置为构建的域，从而使其他与 cookie 相关的问题更容易被利用。 (CVE-2014-3613)

    在 libcurl 库执行连接句柄的复制的方式中发现一个缺陷。如果应用程序设置了句柄的 CURLOPT_COPYPOSTFIELDS 选项，使用该句柄的副本可导致该应用程序崩溃或泄露其部分内存。 (CVE-2014-3707)

    已发现 libcurl 库无法正确处理含有嵌入行尾字符的 URL。如果攻击者能够通过 HTTP 代理使使用 libcurl 的应用程序访问特制 URL，则可利用此缺陷将其他标头注入到请求中，或构造其他请求。 (CVE-2014-8150)

    已发现，libcurl 未正确执行 NTLM 和 Negotatiate 验证的各个方面。如果应用程序以特定方式使用 libcurl 和受影响的机制，将会出现由错误认证用户发送的对之前 NTLM 认证服务器的某些请求。此外，尽管指定了一组不同的凭据，但可在后续请求中重复使用经 HTTP 协商认证的请求的一组初始凭据。 （CVE-2015-3143， CVE-2015-3148）

    Red Hat 在此感谢 cURL 项目报告这些问题。

    错误修复：

    * 通过 libcurl 可以协议外的方式回退到 SSL 3.0。
    攻击者可滥用回退以强制 SSL 版本降级。
    已从 libcurl 中删除该回退。需要此功能的用户可以通过 libcurl API 明确启用 SSL 3.0。
    (BZ#1154060)

    * libcurl 中不再默认禁用 TLS 1.1 和 TLS 1.2。您可以通过 libcurl API 明确禁用它们。 (BZ#1170339)

    * 完成 FTP 操作（例如下载文件）需要花费相当长的时间。现在，libcurl 中的 FTP 实现正确设置阻止方向和估计的连接超时，从而加快 FTP 传输。 (BZ#1218272)

    增强：

    * 借助更新后的程序包，可以明确启用或禁用用于 TLS 协议的新高级加密标准 (AES) 加密套件。 (BZ#1066065)

    * libcurl 库未实现非阻塞 SSL 握手，这将会对基于 libcurl 多个 API 的应用程序的性能产生负面影响。已在 libcurl 中实现非阻塞 SSL 握手，而且当应用程序无法从底层网络套接字读取或写入数据时，libcurl multi API 现在会立即将控制权交还给应用程序。 (BZ#1091429)

    * libcurl 库为不具有活动文件描述符的操作（甚至短操作）使用了不必要的长阻断延迟。某些操作（例如使用 /etc/hosts 解决主机名）需要花费很长时间才能够完成。已修改 libcurl 中的阻断代码，缩短了初始延迟并且直至事件发生时才会逐渐延长。
    (BZ#1130239)

    建议所有 curl 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并添加了这些增强。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 7：curl (RHSA-2015:2159)

critical Nessus 插件 ID 86934

未找到变更日志