DebianDSA-4051-1：curl - セキュリティ更新

critical Nessus プラグイン ID 104861

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

URL転送ライブラリであるcURLで、2つの脆弱性が見つかりました。

- CVE-2017-8816Alex Nichols氏は、NTLM認証コードにバッファオーバーランの欠陥を発見しました。これは、メモリ割り当てサイズを計算する際に整数オーバーフローが発生する、32ビットシステムで引き起こされる可能性があります。

- CVE-2017-8817OSS-Fuzzプロジェクトによるファジングにより、libcurlのFTPワイルドカード関数に境界外読み取りの欠陥が発見されました。悪意のあるサーバーが、ワイルドカードパターンを使用してURLにlibcurlベースのクライアントをリダイレクトし、境界外読み取りを引き起こす可能性があります。

ソリューション

curlパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（jessie）では、これらの問題はバージョン7.38.0-4+deb8u8で修正されています。

安定版（stable）ディストリビューション（stretch）では、これらの問題はバージョン7.52.1-5~deb9u3で修正されています。