Fedora 38 : curl (2023-b855de5c0f)

critical Nessus プラグイン ID 183065

Language:

概要

リモートの Fedora ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Fedora 38 ホストには、FEDORA-2023-b855de5c0f のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- この欠陥により、curl のオーバーフローは、SOCKS5 プロキシハンドシェイクのヒープベースのバッファになります。curl が、自分自身でアドレスを解決するのではなく、SOCKS5 プロキシにホスト名を渡して SOCKS5 プロキシによってアドレス解決するよう指示された場合、渡すことのできるホスト名の最大長は 255 バイトです。ホスト名が長いことが検出された場合、curl はローカル名前解決に切り替え、解決されたアドレスのみを渡します。このバグが原因で、ホストに名前を解決させることを意味するローカル変数が、低速の SOCKS5 ハンドシェイク中に間違った値を取得し、意図に反して、解決されたアドレスのみをターゲットバッファにコピーするのではなく、長すぎるホスト名をコピーする可能性があります。ヒープベースのバッファであるターゲットバッファと、curl が動作するように指示された URL に由来するホスト名。(CVE-2023-38545)

- CVE-2023-38545 は、libcurl および curl の SOCKS5 プロキシハンドシェイクにおけるヒープベースのバッファオーバーフローの脆弱性です。curl は、SOCKS5 プロキシに渡す、長さが 255 バイトを超えるホスト名を受け取った場合、それを SOCKS5 プロキシに渡す前にアドレスを解決するために、ローカル名前解決に切り替えます。しかし、2020 年に発生したバグが原因で、このローカル名前解決は低速の SOCKS5 ハンドシェイクにより失敗する可能性があります。その結果、curl は長さが 255 バイトを超えるホスト名をターゲットバッファに渡し、ヒープオーバーフローが発生します。CVE-2023-38545 のアドバイザリでは、特別に細工された URL にリダイレクトされる、悪質な HTTPS サーバーの悪用シナリオの例を紹介しています。攻撃者が SOCKS5 ハンドシェイクを低速化する必要があると思われるかもしれませんが、アドバイザリでは、サーバーのレイテンシの長さがすでにこのバグを引き起こす原因となっている可能性が高いとしています。(CVE-2023-38545)

- この欠陥により攻撃者は、一定の条件が満たされた場合に、libcurl を使用して実行されているプログラムに意図的に Cookie を挿入できます。libcurl は転送を実行します。その API では、アプリケーションは単一の転送のための個々のハンドルである簡易ハンドルを作成します。libcurl は、[curl_easy_duphandle](https://curl.se/libcurl/c/curl_easy_duphandle.html) という簡易ハンドルを複製する関数呼び出しを提供します。ハンドルの複製時に転送で Cookie が有効になっている場合、Cookie が有効な状態も複製されますが、実際の Cookie は複製されません。ソースハンドルがディスク上の特定のファイルから Cookie を読み取らなかった場合、複製されたバージョンのハンドルは代わりに、[none] (引用符を付けず、ASCII 文字 4 文字を使用) というファイル名を格納します。その後、Cookie を読み込むソースを明示的に設定していない、複製されたハンドルを使用すると、誤って [none] という名前のファイルから Cookie が読み込まれます (そのようなファイルが存在し、libcurl を使用しているプログラムの現行ディレクトリで読み取り可能であり、そしてもちろん、正しいファイル形式を使用している場合)。
(CVE-2023-38546)

- CVE-2023-38546 は、easy ハンドルを複製する libcurl の関数である、curl_easy_duphandle() の cookie インジェクションの脆弱性です。easy ハンドルを複製する際に cookie が有効な場合、複製された easy ハンドルは cookie 自体は複製せずに、ファイル名を none' に設定します。そのため、その後、複製された easy ハンドルが使用され、ソースで cookie が設定されていなかった場合、libcurl はディスク上の none' という名前のファイルから cookie を読み込もうとします。悪用に必要なさまざまな条件が満たされる可能性が低いため、この脆弱性の影響は低いと評価されています。(CVE-2023-38546)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。