Ranjivost u cURL alatu i libcurl biblioteci
Sigurnosna ranjivost u cURL alatu i libcurl biblioteci identificirana je kao CVE-2023-38545. Ovaj propust omogućuje prelijevanja međuspremnika (engl. heap-based buffer overflow) tijekom dogovaranja (engl. handshake) SOCKS5 proxy-a, potencijalno dopuštajući zlonamjernim napadačima izvršavanje proizvoljnog koda (engl. remote code execution - RCE). Ranjivost pogađa libcurl verzije od 7.69.0 do 8.3.0. Problem je prijavljen 30. rujna 2023., a ispravak je objavljen u verziji cURL 8.4.0.
Tehnički detalji ključnih ranjivosti popravljenih ovim ažuriranjem:
Ranjivost proizlazi iz greške u rukovanju cURL-a s nazivima računala tijekom dogovaranja (engl. handshake) SOCKS5 proxy. Kada je upućen da proslijedi ime računala SOCKS5 proxy-ju radi rješavanja, cURL ima maksimalni limit od 255 bajtova. Ako naiđe na ime računala duže od toga, greška može uzrokovati da program pogrešno kopira cijelo ime u ciljni međuspremnik umjesto samo razriješene adrese.
Za iskorištavanje ranjivosti, aplikacija mora koristiti socks5h proxy kako je opisano u nastavku:
- U libcurl-u: - CURLOPT_PROXYTYPE postavljen na tip CURLPROXY_SOCKS5_HOSTNAME, ili: - CURLOPT_PROXY ili CURLOPT_PRE_PROXY postavljeni da koriste shemu socks5h:// - jedna proxy okolišna varijabla može biti postavljeno da koristi shemu socks5h://. Na primjer, http_proxy, HTTPS_PROXY ili ALL_PROXY.
- U cURL alatu: - --socks5-hostname, ili: - --proxy ili --preproxy postavljeni da koriste shemu socks5h:// - okolišne varijable kako je opisano u libcurl sekciji.
Također zahtijeva da žrtva pristupi web mjestu koje kontrolira napadač
Zahvaćeni proizvodi:
- libcurl od 7.69.0 do 8.3.0
Napomena: Verzije prije 7.69.0 nisu pogođene.
Preporuke:
Iako je ocjena zlouporabe ove ranjivosti niska, preporučuje se ažuriranje na cURL 8.4.0.
Obzirom na to da se cURL i libcurl koriste u različitim operativnim sustavima i aplikacijama, preporučuje se prioritetna nadogradnja na ispravljeno izdanje na aplikacijama koje su javno dostupne, posebno onih koje prihvaćaju proizvoljne korisničke unose te nadogradnja kritičnih sustava.
Više informacija moguće je pročitati na sljedećoj poveznici:
[Inicijalna objava: 13.10.2023 - 13:20]
Normativni akti
- Ustav Republike Hrvatske
- Strategija nacionalne sigurnosti
- Zakon o sustavu domovinske sigurnosti
- Zakon o sigurnosno-obavještajnom sustavu RH
- Zakon o tajnosti podataka
- Zakon o informacijskoj sigurnosti
- Uredba o mjerama informacijske sigurnosti
- Nacionalna strategija kibernetičke sigurnosti i Akcijski plan za provedbu Nacionalne strategije kibernetičke sigurnosti
- Zakon o provedbi Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća od 17. travnja 2019. (Zakon o provedbi kibernetičke sigurnosne certifikacije)
- Zakon o kibernetičkoj sigurnosti
- Odluka o provedbi Odluke br. 1104/2011/EU Europskog parlamenta i Vijeća od 25. listopada 2011. o pravilima za pristup javno reguliranoj usluzi koju pruža globalni navigacijski satelitski sustav uspostavljen u sklopu programa Galileo
- Smjernice za postupanje s neklasificiranim podacima