CentOS Linux 6 [TuxCare] セキュリティ更新プログラム:curl/libcurl/libcurl-develの複数の脆弱性(CENTOS6:CLSA-2026:1787062885)

critical Nessus プラグイン ID 352520

Language:

概要

CentOS Linuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

CentOS Linux 6ホストには、TuxCare CENTOS6:CLSA-2026:1787062885アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- 環境変数のプロキシ構成により駆動されるシーケンシャル転送に libcurl ハンドルを再利用する際、libcurl はリクエスト間のプロキシ認証状態をクリアできません。特に、最初の転送がダイジェスト認証を使用して「proxyA」に対して認証される場合、「proxyB」経由でルーティングされたその後の転送では、「proxyA」のみを対象とした「Proxy-Authorization:」ヘッダーが誤って漏洩します。(CVE-2026-8927)

- libcurl は、再利用を禁止すべき一部の mTLS 構成関連のオプションが変更された場合でも、以前に作成した接続を再利用することがあります。libcurl は、以前使用した接続の 1 つがセットアップと一致する場合に、再利用するために以後の転送のために、以前使用した接続を接続プールに保持します。ただし、クライアント証明書に関連する一部の TLS 設定は、構成の一致チェックから除外されており、非常に簡単に一致させられていました。特に、秘密鍵に関連するオプション。(CVE-2026-8932)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。