來自 Red Hat 安全性公告 2015:1254：

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 curl 套件，可修正多個安全性問題、數個錯誤，並新增兩個增強功能。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

curl 套件會提供 libcurl 程式庫和 curl 公用程式，以便從使用多種通訊協定的伺服器下載檔案，包括 HTTP、FTP 和 LDAP。

據發現，libcurl 程式庫在剖析已收到的 HTTP Cookie 時，無法正確處理部分常值 IP 位址。能夠誘騙使用者連線至惡意伺服器的攻擊者可利用此瑕疵，將使用者的 Cookie 設為特製的網域，使其他與 Cookie 相關的問題更容易遭到惡意利用。(CVE-2014-3613)

在 libcurl 程式庫複製連線控制代碼的方式中發現一個瑕疵。如果應用程式為控制代碼設定 CURLOPT_COPYPOSTFIELDS 選項，使用控制代碼的複製功能可能使應用程式損毀，或洩漏其部分記憶體。(CVE-2014-3707)

據發現，libcurl 程式庫未能正確處理包含內嵌行結尾字元的 URL。能夠讓使用 libcurl 的應用程式透過 HTTP Proxy 存取特製 URL 的攻擊者，可利用此瑕疵將其他標頭插入到要求中，或建構其他要求。(CVE-2014-8150)

據發現，libcurl 以不正確的方式實作 NTLM 和交涉驗證的層面。如果應用程式以特定的方式使用 libcurl 和受影響的機制，對於先前經 NTLM 驗證之伺服器的某些要求可能會顯示為由經驗證的錯誤使用者傳送。此外，可能會在後續的要求中重複使用最初一組適用於 HTTP 交涉驗證要求的認證，但指定另一組不同的認證。(CVE-2015-3143、CVE-2015-3148)

Red Hat 要感謝 cURL 專案報告這些問題。

錯誤修正：

* libcurl 可使用通訊協定範圍外 (out-of-protocol) 遞補至 SSL 3.0 版 (SSLv3.0)。攻擊者可濫用遞補，強制降級 SSL 版本。已從 libcurl 移除遞補。需要此功能的使用者可透過 libcurl API 明確地啟用 SSLv3.0。(BZ#1154059)

* 通過 FILE 通訊協定的單一上傳會開啟目的地檔案兩次。如果 inotify 核心子系統監控檔案，會發現產生兩個事件 (其實並無必要)。現在，每次上傳只會開啟檔案一次。(BZ#883002)

* 當系統在 FIPS 模式下執行時，使用 libcurl 進行 SCP/SFTP 傳輸的公用程式可能會非預期地終止。(BZ#1008178)

* 使用「--retry」選項搭配 curl 公用程式可使 curl 因為分割錯誤而非預期地終止。現在，加入「--retry」不再會使 curl 損毀。(BZ#1009455)

* 列印時間戳記時，'curl --trace-time' 命令不會使用正確的當地時間。現在，「curl --trace-time」會如預期般運作。
(BZ#1120196)

* valgrind 公用程式可能會在 curl 結束時，以動態的方式報告配置的記憶體洩漏。現在，curl 會在結束時執行 NetScape Portable Runtime (NSPR) 程式庫的全域關閉，因此 valgrind 不再會報告記憶體洩漏。(BZ#1146528)

* 之前，當 Proxy 伺服器將自己的標頭附加至 HTTP 回應時，libcurl 會傳回不正確的 CURLINFO_HEADER_SIZE 欄位值。現在，會傳回有效值。
(BZ#1161163)

增強功能：

* 「--tlsv1.0」、「--tlsv1.1」和「--tlsv1.2」選項可用於將 TLS 通訊協定的次要版本指定為透過 NSS 交涉。「--tlsv1」選項現在會交涉用戶端與伺服器同時支援的最新 TLS 通訊協定版本。(BZ#1012136)

* 現在，可以明確地啟用或停用 ECC，而且新的 AES 加密套件可用於 TLS。(BZ#1058767、BZ#1156422)

建議所有 curl 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增這些增強功能。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2015:2159 公告中提及的多個弱點影響。

    curl 套件會提供 libcurl 程式庫和 curl 公用程式，以便從使用多種通訊協定的伺服器下載檔案，包括 HTTP、FTP 和 LDAP。

    據發現，libcurl 程式庫在剖析已收到的 HTTP Cookie 時，無法正確處理部分常值 IP 位址。能夠誘騙使用者連線至惡意伺服器的攻擊者可利用此瑕疵，將使用者的 Cookie 設定為特製的網域，進而更容易惡意利用其他與 Cookie 相關的問題。 (CVE-2014-3613)

    在 libcurl 程式庫複製連線控制代碼的方式中發現一個瑕疵。如果應用程式為控制代碼設定 CURLOPT_COPYPOSTFIELDS 選項，則使用控制代碼的副本可導致應用程式損毀或洩漏其部分記憶體。 (CVE-2014-3707)

    據發現，libcurl 程式庫未能正確處理包含內嵌行結尾字元的 URL。能夠讓使用 libcurl 的應用程式透過 HTTP Proxy 存取特製 URL 的攻擊者，可利用此瑕疵將其他標頭插入要求或建構其他要求。 (CVE-2014-8150)

    據發現，libcurl 以不正確的方式實作 NTLM 和交涉驗證的層面。如果應用程式以特定方式使用 libcurl 和受影響的機制，向先前經 NTLM 驗證之伺服器發送的某些要求可顯示為由經錯誤驗證的使用者傳送。此外，雖然已指定另一組不同的認證，但仍可在後續要求中重複使用最初的一組經 HTTP 交涉驗證要求的認證。 (CVE-2015-3143、 CVE-2015-3148)

    Red Hat 要感謝 cURL 專案報告這些問題。

    錯誤修正：

    * libcurl 可使用通訊協定範圍外 (out-of-protocol) 遞補至 SSL 3.0。
    攻擊者可濫用遞補，強制降級 SSL 版本。
    已從 libcurl 移除遞補。若使用者需要此功能，可透過 libcurl API 明確啟用 SSL 3.0。
    (BZ#1154060)

    * libcurl 不會再預設為停用 TLS 1.1 和 TLS 1.2。您可以透過 libcurl API 明確停用它們。 (BZ#1170339)

    * FTP 作業 (如：下載檔案) 原本需要相當長的時間才能完成。現在，libcurl 中的 FTP 實作會正確設定連線的封鎖方向和預計逾時，進而加快 FTP 傳輸速度。 (BZ#1218272)

    增強功能：

    * 透過更新版套件，可以明確地啟用或停用要用於 TLS 通訊協定的新進階加密標準 (AES) 加密套件。 (BZ#1066065)

    * libcurl 程式庫未實作非封鎖 SSL 交握，這會對以 libcurl 多重 API 為基礎的應用程式，產生負面的效能影響。已在 libcurl 中實作非封鎖 SSL 交握，且 libcurl 多重 API 現在只要無法從基礎網路通訊端讀取或寫入資料，就會立即將控制權傳回應用程式。 (BZ#1091429)

    * libcurl 程式庫對不具有效檔案描述符號的動作 (即使只是短時作業)，使用了不必要的長時封鎖延遲。有些動作 (例如：剖析使用 /etc/hosts 的主機名稱) 需要很長的時間才能完成。已修改 libcurl 中的封鎖程式碼，現在初始延遲時間很短，並且會逐漸增加直到事件發生。
    (BZ#1130239)

    建議所有 curl 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增這些增強功能。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

來自 Red Hat 安全性公告 2015:2159：

現已提供適用於 Red Hat Enterprise Linux 7 的更新版 curl 套件，可修正多個安全性問題、數個錯誤，並新增兩個增強功能。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

curl 套件會提供 libcurl 程式庫和 curl 公用程式，以便從使用多種通訊協定的伺服器下載檔案，包括 HTTP、FTP 和 LDAP。

據發現，libcurl 程式庫在剖析已收到的 HTTP Cookie 時，無法正確處理部分常值 IP 位址。能夠誘騙使用者連線至惡意伺服器的攻擊者可利用此瑕疵，將使用者的 Cookie 設為特製的網域，使其他與 Cookie 相關的問題更容易遭到惡意利用。(CVE-2014-3613)

在 libcurl 程式庫複製連線控制代碼的方式中發現一個瑕疵。如果應用程式為控制代碼設定 CURLOPT_COPYPOSTFIELDS 選項，使用控制代碼的複製功能可能使應用程式損毀，或洩漏其部分記憶體。(CVE-2014-3707)

據發現，libcurl 程式庫未能正確處理包含內嵌行結尾字元的 URL。有能力利用 libcurl 透過 HTTP proxy 存取特製 URL，並製作應用程式的攻擊者，即可利用此瑕疵插入其他標頭到要求中，或建構其他要求。(CVE-2014-8150)

據發現，libcurl 以不正確的方式實作 NTLM 和交涉驗證的層面。如果應用程式以特定的方式使用 libcurl 和受影響的機制，對於先前經 NTLM 驗證之伺服器的某些要求可能會顯示為由經驗證的錯誤使用者傳送。此外，可能會在後續的要求中重複使用最初一組適用於 HTTP 交涉驗證要求的認證，但指定另一組不同的認證。(CVE-2015-3143、CVE-2015-3148)

Red Hat 要感謝 cURL 專案報告這些問題。

錯誤修正：

* libcurl 可使用通訊協定範圍外 (out-of-protocol) 遞補至 SSL 3.0。
攻擊者可濫用遞補，強制降級 SSL 版本。已從 libcurl 移除遞補。若使用者需要此功能，可透過 libcurl API 明確啟用 SSL 3.0。(BZ#1154060)

* libcurl 不會再預設為停用 TLS 1.1 和 TLS 1.2。
您可以透過 libcurl API 明確停用這些設定。(BZ#1170339)

* FTP 作業 (如：下載檔案) 原本需要相當長的時間才能完成。現在，libcurl 中的 FTP 實作可正確設定連線的封鎖方向，以及預估的逾時值，進而加快 FTP 傳輸速度。(BZ#1218272)

增強功能：

* 執行更新版套件後，即可明確啟用或停用要用於 TLS 通訊協定的全新進階加密標準 (AES) 加密套件。(BZ#1066065)

* libcurl 程式庫未實作非封鎖 SSL 交握，這會對以 libcurl 多重 API 為基礎的應用程式，產生負面的效能影響。已在 libcurl 中實作非封鎖 SSL 交握，現在無論 libcurl 多重 API 是否可以從基礎網路通訊端往來讀取或寫入資料，都可立即將控制項傳回應用程式。(BZ#1091429)

* libcurl 程式庫對不具有效檔案描述符號的動作 (即使只是短時作業)，使用了不必要的長時封鎖延遲。
有些動作 (例如：剖析使用 /etc/hosts 的主機名稱) 需要很長的時間才能完成。已修改 libcurl 中的封鎖程式碼，現在初始延遲時間很短，並且會逐漸增加直到事件發生。(BZ#1130239)

建議所有 curl 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增這些增強功能。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2015:2159 公告中提及的多个漏洞的影响。

    curl 程序包提供了 libcurl 库和 curl 实用工具，用于从使用多种协议（包括 HTTP、FTP 和 LDAP）的服务器下载文件。

    已发现在解析接收的 HTTP Cookie 时，libcurl 库未正确处理部分文本 IP 地址。能够诱骗用户连接到恶意服务器的攻击者可利用此缺陷将用户的 cookie 设置为构建的域，从而使其他与 cookie 相关的问题更容易被利用。 (CVE-2014-3613)

    在 libcurl 库执行连接句柄的复制的方式中发现一个缺陷。如果应用程序设置了句柄的 CURLOPT_COPYPOSTFIELDS 选项，使用该句柄的副本可导致该应用程序崩溃或泄露其部分内存。 (CVE-2014-3707)

    已发现 libcurl 库无法正确处理含有嵌入行尾字符的 URL。如果攻击者能够通过 HTTP 代理使使用 libcurl 的应用程序访问特制 URL，则可利用此缺陷将其他标头注入到请求中，或构造其他请求。 (CVE-2014-8150)

    已发现，libcurl 未正确执行 NTLM 和 Negotatiate 验证的各个方面。如果应用程序以特定方式使用 libcurl 和受影响的机制，将会出现由错误认证用户发送的对之前 NTLM 认证服务器的某些请求。此外，尽管指定了一组不同的凭据，但可在后续请求中重复使用经 HTTP 协商认证的请求的一组初始凭据。 （CVE-2015-3143， CVE-2015-3148）

    Red Hat 在此感谢 cURL 项目报告这些问题。

    错误修复：

    * 通过 libcurl 可以协议外的方式回退到 SSL 3.0。
    攻击者可滥用回退以强制 SSL 版本降级。
    已从 libcurl 中删除该回退。需要此功能的用户可以通过 libcurl API 明确启用 SSL 3.0。
    (BZ#1154060)

    * libcurl 中不再默认禁用 TLS 1.1 和 TLS 1.2。您可以通过 libcurl API 明确禁用它们。 (BZ#1170339)

    * 完成 FTP 操作（例如下载文件）需要花费相当长的时间。现在，libcurl 中的 FTP 实现正确设置阻止方向和估计的连接超时，从而加快 FTP 传输。 (BZ#1218272)

    增强：

    * 借助更新后的程序包，可以明确启用或禁用用于 TLS 协议的新高级加密标准 (AES) 加密套件。 (BZ#1066065)

    * libcurl 库未实现非阻塞 SSL 握手，这将会对基于 libcurl 多个 API 的应用程序的性能产生负面影响。已在 libcurl 中实现非阻塞 SSL 握手，而且当应用程序无法从底层网络套接字读取或写入数据时，libcurl multi API 现在会立即将控制权交还给应用程序。 (BZ#1091429)

    * libcurl 库为不具有活动文件描述符的操作（甚至短操作）使用了不必要的长阻断延迟。某些操作（例如使用 /etc/hosts 解决主机名）需要花费很长时间才能够完成。已修改 libcurl 中的阻断代码，缩短了初始延迟并且直至事件发生时才会逐渐延长。
    (BZ#1130239)

    建议所有 curl 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并添加了这些增强。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

来自 Red Hat 安全公告 2015:2159：

更新后的 curl 程序包修复了多个安全问题和缺陷并添加了两项增强，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

curl 程序包提供了 libcurl 库和 curl 实用工具，用于从使用多种协议（包括 HTTP、FTP 和 LDAP）的服务器下载文件。

已发现在解析接收的 HTTP Cookie 时，libcurl 库未正确处理部分文本 IP 地址。通过诱骗用户连接到恶意服务器，攻击者可利用此缺陷将用户的 cookie 设置为构建的域，从而更容易地利用与 cookie 相关的其他问题。(CVE-2014-3613)

在 libcurl 库执行连接句柄的复制的方式中发现一个缺陷。如果应用程序为句柄设置了 CURLOPT_COPYPOSTFIELDS 选项，使用句柄的复制可导致应用程序崩溃或泄露其部分内存。(CVE-2014-3707)

已发现 libcurl 库无法正确处理含有嵌入行尾字符的 URL。如果攻击者能够通过 HTTP 代理令使用 libcurl 的应用程序访问特别构建的 URL，则可以利用此缺陷将额外的标头注入请求或构建额外的请求。(CVE-2014-8150)

已发现 libcurl 未正确实现 NTLM 和 Negotiate 认证的各个方面。如果应用程序以特定方式使用 libcurl 和受影响的机制，将会出现由错误认证的用户发送的对之前 NTLM 认证服务器的特定请求。此外，HTTP Negotiate 认证的请求的初始凭据组可以在后续请求中重新使用，即使已指定一组不同的凭据。（CVE-2015-3143、CVE-2015-3148）

Red Hat 在此感谢 cURL 项目报告这些问题。

缺陷补丁：

* 通过 libcurl 可以协议外的方式回退到 SSL 3.0。
攻击者可滥用回退以强制 SSL 版本降级。已从 libcurl 中删除该回退。需要此功能的用户可以通过 libcurl API 明确启用 SSL 3.0。(BZ#1154060)

* libcurl 中不再默认禁用 TLS 1.1 和 TLS 1.2。
可通过 libcurl API 明确禁用。(BZ#1170339)

* 完成 FTP 操作（例如下载文件）需要花费相当长的时间。现在，libcurl 中的 FTP 实现为连接正确设置了阻断指示和估算超时，从而加快了 FTP 传输。(BZ#1218272)

增强：

* 通过更新后的程序包，可以明确启用或禁用将用于 TLS 协议的高级加密标准 (AES) 加密套件。(BZ#1066065)

* libcurl 库未实现非阻塞 SSL 握手，这将会对基于 libcurl 多个 API 的应用程序的性能产生负面影响。非阻塞 SSL 握手现已在 libcurl 中实现，并且当其无法从底层网络套接字中读取数据或向其写入数据时，libcurl 多个 API 可立即将控制返回给应用程序。(BZ#1091429)

* libcurl 库为不具有活动文件描述符的操作（甚至短操作）使用了不必要的长阻断延迟。
某些操作（例如使用 /etc/hosts 解决主机名）需要花费很长时间才能够完成。已修改 libcurl 中的阻断代码，缩短了初始延迟并且直至事件发生时才会逐渐延长。(BZ#1130239)

建议所有 curl 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并添加了这些增强。

7.17.1 至 7.38.0 版的 libcurl 中的 curl_easy_duphandle 函数在以 CURLOPT_COPYPOSTFIELDS 选项运行时未正确复制 HTTP POST 数据实现轻松处理，这会触发可允许远程 Web 服务器读取敏感内存信息的越界读取。(CVE-2014-3707)

当使用 HTTP 代理时，7.40.0 之前的 6.0 至 7.x 版 libcurl 中的 CRLF 注入漏洞允许远程攻击者通过 URL 中的 CRLF 序列注入任意 HTTP 标头并执行 HTTP 响应拆分攻击。(CVE-2014-8150)

Facebook 的 Andrey Labunets 发现 URL 传输库 cURL 无法正确处理嵌入了行尾字符的 URL。能够让使用 libcurl 的应用程序通过 HTTP 代理访问特别构建的 URL 的攻击者可利用此缺陷以非预期方式提出附加请求，或将附加请求标头插入到请求中。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

更新后的 curl 程序包修复了多个安全问题和缺陷并添加了两项增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

curl 程序包提供了 libcurl 库和 curl 实用工具，用于从使用多种协议（包括 HTTP、FTP 和 LDAP）的服务器下载文件。

已发现在解析接收的 HTTP Cookie 时，libcurl 库未正确处理部分文本 IP 地址。通过诱骗用户连接到恶意服务器，攻击者可利用此缺陷将用户的 cookie 设置为构建的域，从而更容易地利用与 cookie 相关的其他问题。(CVE-2014-3613)

在 libcurl 库执行连接句柄的复制的方式中发现一个缺陷。如果应用程序为句柄设置了 CURLOPT_COPYPOSTFIELDS 选项，使用句柄的复制可导致应用程序崩溃或泄露其部分内存。(CVE-2014-3707)

已发现 libcurl 库无法正确处理含有嵌入行尾字符的 URL。能够通过 HTTP 代理迫使应用程序使用 libcurl 访问特别构建的 URL 的攻击者，可以利用此缺陷将额外的标头注入请求或构建额外的请求。(CVE-2014-8150)

已发现 libcurl 未正确实现 NTLM 和 Negotiate 认证的各个方面。如果应用程序以特定方式使用 libcurl 和受影响的机制，将会出现由错误认证的用户发送的对之前 NTLM 认证服务器的特定请求。此外，HTTP Negotiate 认证的请求的初始凭据组可以在后续请求中重新使用，即使已指定一组不同的凭据。（CVE-2015-3143、CVE-2015-3148）

Red Hat 在此感谢 cURL 项目报告这些问题。

缺陷补丁：

* 通过 libcurl 可以协议外的方式回退到 SSL 版本 3.0 (SSLv3.0)。攻击者可滥用回退以强制 SSL 版本降级。已从 libcurl 中删除该回退。需要此功能的用户可以通过 libcurl API 明确启用 SSLv3.0。(BZ#1154059)

* 通过 FILE 协议进行的单个上传传输会将目标文件打开两次。如果 inotify 内核子系统监控该文件，会不必要地产生两个事件。现在每次上传只打开文件一次。(BZ#883002)

* 当系统在 FIPS 模式下运行时，使用 libcurl 进行 SCP/SFTP 传输的实用工具可能会意外终止。(BZ#1008178)

* 使用带有 curl 实用工具的“--retry”选项可导致 curl 因分段错误而意外终止。现在，添加“--retry”不会再导致 curl 崩溃。(BZ#1009455)

* 打印时间戳时，“curl --trace-time”命令未使用正确的本地时间。现在，“curl --trace-time”将按预期方式工作。
(BZ#1120196)

* Valgrind 实用工具可以报告 curl 退出中的动态分配内存泄漏。现在，curl 在退出中执行 NetScape Portable Runtime (NSPR) 库的全局关闭，valgrind 不再报告内存泄漏。(BZ#1146528)

* 以前，当代理服务器将其自身的标头附加到 HTTP 响应中时，libcurl 会返回 CURLINFO_HEADER_SIZE 字段的错误值。现在，返回的值为有效值。
(BZ#1161163)

增强：

* “--tlsv1.0”、“--tlsv1.1”和“--tlsv1.2”选项可用于指定要由 NSS 协商的 TLS 协议的次要版本。现在，“--tlsv1”选项可协商由客户端和服务器同时支持的 TLS 协议的最高版本。(BZ#1012136)

* 现在可以明确启用或禁用将用于 TLS 的 ECC 和新的 AES 加密套件。（BZ#1058767、BZ#1156422）

建议所有 curl 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并添加了这些增强。

来自 Red Hat 安全公告 2015:1254：

更新后的 curl 程序包修复了多个安全问题和缺陷并添加了两项增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

curl 程序包提供了 libcurl 库和 curl 实用工具，用于从使用多种协议（包括 HTTP、FTP 和 LDAP）的服务器下载文件。

已发现在解析接收的 HTTP Cookie 时，libcurl 库未正确处理部分文本 IP 地址。通过诱骗用户连接到恶意服务器，攻击者可利用此缺陷将用户的 cookie 设置为构建的域，从而更容易地利用与 cookie 相关的其他问题。(CVE-2014-3613)

在 libcurl 库执行连接句柄的复制的方式中发现一个缺陷。如果应用程序为句柄设置了 CURLOPT_COPYPOSTFIELDS 选项，使用句柄的复制可导致应用程序崩溃或泄露其部分内存。(CVE-2014-3707)

已发现 libcurl 库无法正确处理含有嵌入行尾字符的 URL。能够通过 HTTP 代理迫使应用程序使用 libcurl 访问特别构建的 URL 的攻击者，可以利用此缺陷将额外的标头注入请求或构建额外的请求。(CVE-2014-8150)

已发现 libcurl 未正确实现 NTLM 和 Negotiate 认证的各个方面。如果应用程序以特定方式使用 libcurl 和受影响的机制，将会出现由错误认证的用户发送的对之前 NTLM 认证服务器的特定请求。此外，HTTP Negotiate 认证的请求的初始凭据组可以在后续请求中重新使用，即使已指定一组不同的凭据。（CVE-2015-3143、CVE-2015-3148）

Red Hat 在此感谢 cURL 项目报告这些问题。

缺陷补丁：

* 通过 libcurl 可以协议外的方式回退到 SSL 版本 3.0 (SSLv3.0)。攻击者可滥用回退以强制 SSL 版本降级。已从 libcurl 中删除该回退。需要此功能的用户可以通过 libcurl API 明确启用 SSLv3.0。(BZ#1154059)

* 通过 FILE 协议进行的单个上传传输会将目标文件打开两次。如果 inotify 内核子系统监控该文件，会不必要地产生两个事件。现在每次上传只打开文件一次。(BZ#883002)

* 当系统在 FIPS 模式下运行时，使用 libcurl 进行 SCP/SFTP 传输的实用工具可能会意外终止。(BZ#1008178)

* 使用带有 curl 实用工具的“--retry”选项可导致 curl 因分段错误而意外终止。现在，添加“--retry”不会再导致 curl 崩溃。(BZ#1009455)

* 打印时间戳时，“curl --trace-time”命令未使用正确的本地时间。现在，“curl --trace-time”将按预期方式工作。
(BZ#1120196)

* Valgrind 实用工具可以报告 curl 退出中的动态分配内存泄漏。现在，curl 在退出中执行 NetScape Portable Runtime (NSPR) 库的全局关闭，valgrind 不再报告内存泄漏。(BZ#1146528)

* 以前，当代理服务器将其自身的标头附加到 HTTP 响应中时，libcurl 会返回 CURLINFO_HEADER_SIZE 字段的错误值。现在，返回的值为有效值。
(BZ#1161163)

增强：

* “--tlsv1.0”、“--tlsv1.1”和“--tlsv1.2”选项可用于指定要由 NSS 协商的 TLS 协议的次要版本。现在，“--tlsv1”选项可协商由客户端和服务器同时支持的 TLS 协议的最高版本。(BZ#1012136)

* 现在可以明确启用或禁用将用于 TLS 的 ECC 和新的 AES 加密套件。（BZ#1058767、BZ#1156422）

建议所有 curl 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并添加了这些增强。

- 拒绝传递给代理的 URL 中的 CRLF (CVE-2014-8150)

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

The remote host is running a version of Mac OS X 10.10.x that is prior to version 10.10.5. The installed version is affected by multiple vulnerabilities in the following components :

 - apache (CVE-2014-3581, CVE-2014-3583, CVE-2014-8109, CVE-2015-0228, CVE-2015-0253, CVE-2015-3183, CVE-2015-3185)
 - apache_mod_php (CVE-2015-2783, CVE-2015-2787, CVE-2015-3307, CVE-2015-3329, CVE-2015-3330, CVE-2015-4021, CVE-2015-4022, CVE-2015-4024, CVE-2015-4025, CVE-2015-4026, CVE-2015-4147, CVE-2015-4148)
 - Apple ID OD Plug-in (CVE-2015-3799)
 - AppleGraphicsControl (CVE-2015-5768)
 - Bluetooth (CVE-2015-3777, CVE-2015-3779, CVE-2015-3780, CVE-2015-3786, CVE-2015-3787)
 - bootp (CVE-2015-3778)
 - CloudKit (CVE-2015-3782)
 - CoreMedia Playback (CVE-2015-5777, CVE-2015-5778)
 - CoreText (CVE-2015-5761, CVE-2015-5755)
 - curl (CVE-2014-3613, CVE-2014-3620, CVE-2014-3707, CVE-2014-8150, CVE-2014-8151, CVE-2015-3143, CVE-2015-3144, CVE-2015-3145, CVE-2015-3148, CVE-2015-3153)
 - Data Detectors Engine (CVE-2015-5750)
 - Date & Time pref pane (CVE-2015-3757)
 - Dictionary Application (CVE-2015-3774)
 - DiskImages (CVE-2015-3800)
 - dyld (CVE-2015-3760)
 - FontParser (CVE-2015-3804, CVE-2015-5775, CVE-2015-5756)
 - groff (CVE-2009-5044, CVE-2009-5078)
 - ImageIO (CVE-2015-5758, CVE-2015-5781, CVE-2015-5782)
 - Install Framework Legacy (CVE-2015-5784, CVE-2015-5754)
 - IOFireWireFamily (CVE-2015-3769, CVE-2015-3771, CVE-2015-3772)
 - IOGraphics (CVE-2015-3770, CVE-2015-5783)
 - IOHIDFamily (CVE-2015-5774)
 - Kernel (CVE-2015-3766, CVE-2015-3768, CVE-2015-5747, CVE-2015-5748, CVE-2015-3806, CVE-2015-3803, CVE-2015-3802, CVE-2015-3805, CVE-2015-3776, CVE-2015-3761)
 - Libc (CVE-2015-3796, CVE-2015-3797, CVE-2015-3798)
 - Libinfo (CVE-2015-5776)
 - libpthread (CVE-2015-5757)
 - libxml2 (CVE-2014-0191, CVE-2014-3660, CVE-2015-3807)
 - libxpc (CVE-2015-3795)
 - mail_cmds (CVE-2014-7844)
 - Notification Center OSX (CVE-2015-3764)
 - ntfs (CVE-2015-5763)
 - OpenSSH (CVE-2015-5600)
 - OpenSSL (CVE-2015-1788, CVE-2015-1789, CVE-2015-1790, CVE-2015-1791, CVE-2015-1792)
 - perl (CVE-2013-7422)
 - PostgreSQL (CVE-2014-0067, CVE-2014-8161, CVE-2015-0241, CVE-2015-0242, CVE-2015-0243, CVE-2015-0244)
 - python (CVE-2013-7040, CVE-2013-7338, CVE-2014-1912, CVE-2014-7185, CVE-2014-9365)
 - QL Office (CVE-2015-5773, CVE-2015-3784)
 - Quartz Composer Framework (CVE-2015-5771)
 - Quick Look (CVE-2015-3781)
 - QuickTime 7 (CVE-2015-3779, CVE-2015-5753, CVE-2015-5779, CVE-2015-3765, CVE-2015-3788, CVE-2015-3789, CVE-2015-3790, CVE-2015-3791, CVE-2015-3792, CVE-2015-5751)
 - SceneKit (CVE-2015-5772, CVE-2015-3783)
 - Security (CVE-2015-3775)
 - SMBClient (CVE-2015-3773)
 - Speech UI (CVE-2015-3794)
 - sudo (CVE-2013-1775, CVE-2013-1776, CVE-2013-2776, CVE-2013-2777, CVE-2014-0106, CVE-2014-9680)
 - tcpdump (CVE-2014-8767, CVE-2014-8769, CVE-2014-9140)
 - Text Formats (CVE-2015-3762)
 - udf (CVE-2015-3767)

 Note that successful exploitation of the most serious issues can result in arbitrary code execution.

Versions of cURL / libcURL older than 7.40.0 are unpatched for a security bypass vulnerability because it fails to properly handle URLs with embedded end-of-line characters. Specifically, this issue affects the 'parseurlandfillconn()' function of the 'lib/url.c' source file. An attacker can exploit this issue to inject additional headers to the request or construct additional requests.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
85096	Oracle Linux 6：curl (ELSA-2015-1254)	Nessus	Oracle Linux Local Security Checks	2015/7/30	2024/10/22	critical
86934	RHEL 7：curl (RHSA-2015:2159)	Nessus	Red Hat Local Security Checks	2015/11/19	2025/4/15	critical
87028	Oracle Linux 7：curl (ELSA-2015-2159)	Nessus	Oracle Linux Local Security Checks	2015/11/24	2024/10/22	critical
86934	RHEL 7：curl (RHSA-2015:2159)	Nessus	Red Hat Local Security Checks	2015/11/19	2025/4/15	critical
87028	Oracle Linux 7：curl (ELSA-2015-2159)	Nessus	Oracle Linux Local Security Checks	2015/11/24	2024/10/22	critical
81323	Amazon Linux AMI：curl (ALAS-2015-477)	Nessus	Amazon Linux Local Security Checks	2015/2/13	2018/4/18	medium
82117	Debian DLA-134-1：curl 安全更新	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	medium
84912	RHEL 6：curl (RHSA-2015:1254)	Nessus	Red Hat Local Security Checks	2015/7/22	2024/11/4	critical
85096	Oracle Linux 6：curl (ELSA-2015-1254)	Nessus	Oracle Linux Local Security Checks	2015/7/30	2024/10/22	critical
80449	Fedora 21：curl-7.37.0-12.fc21 (2015-0415)	Nessus	Fedora Local Security Checks	2015/1/12	2021/1/11	medium
8981	Mac OS X < 10.10.5 Multiple Vulnerabilities	Nessus Network Monitor	Operating System Detection	2015/10/16	2019/3/6	high
8620	cURL / libcURL 7.x < 7.40.0 Remote Security Bypass	Nessus Network Monitor	Web Clients	2015/1/9	2019/3/6	medium

检测

插件搜索

critical

critical

critical

critical

critical

medium

medium

critical

critical

medium

high

medium