Ваш Curl опасен: почему важно обновить его до версии 8.11.1

В популярном инструменте для передачи данных Curl была обнаружена критическая уязвимость, позволяющая злоумышленникам получить доступ к конфиденциальной информации. Уязвимость, зарегистрированная под идентификатором CVE-2024-11053, затрагивает версии Curl от 6.5 до 8.11.0 и может приводить к утечке паролей.

Проблема безопасности возникает, если Curl настроен на использование файла .netrc для хранения учётных данных и выполнение HTTP-перенаправлений. При определённых условиях пароли, использованные для исходного хоста, могли передаваться перенаправленному хосту. Такая ситуация возможна, если:

• В файле .netrc есть запись, соответствующая целевому хосту перенаправления.
• Эта запись не содержит пароля или ни имени пользователя, ни пароля.

Например, если Curl перенаправляет запрос с a.tld на b.tld, а в файле .netrc есть запись для b.tld без пароля, Curl может передать пароль от a.tld хосту b.tld.

Уязвимость классифицирована как CWE-200 — раскрытие конфиденциальной информации неавторизованным лицам. Несмотря на риски, уровень опасности этой уязвимости оценён как низкий. Проблема затрагивает как библиотеку libcurl, так и командную строку Curl, которая широко используется в различных приложениях.

Проект Curl выпустил версию 8.11.1 11 декабря 2024 года, устраняющую эту уязвимость. Пользователям настоятельно рекомендуется:

• Обновить Curl и libcurl до версии 8.11.1.
• Применить патч к текущей версии и пересобрать её.
• Избегать использования файлов .netrc в сочетании с перенаправлениями.

Сообщение о проблеме было направлено в проект Curl 8 ноября 2024 года. После детального анализа и устранения уязвимости команда Curl уведомила сообщество distros@openwall 3 декабря 2024 года. Координация выпуска версии 8.11.1 и публикации официального уведомления была проведена 11 декабря 2024 года.

Пользователям и администраторам настоятельно рекомендуется проверить конфигурацию Curl и обновить программу до последней версии, чтобы избежать возможной утечки данных.