CentOS Linux 6 [TuxCare] セキュリティ更新プログラム:curl/libcurl/libcurl-develの複数の脆弱性(CENTOS6:CLSA-2026:1778786567)

critical Nessus プラグイン ID 361427

Language:

概要

CentOS Linuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

CentOS Linux 6ホストには、TuxCare CENTOS6:CLSA-2026:1778786567アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- 7.57.0 を通じた libcurl 7.1が、誤って認証データを第三者に漏洩する可能性があります。HTTPリクエストでカスタムヘッダーを送信するように要求されたとき、libcurlは最初のURLのホストにそのヘッダーのセットを送信しますが、リダイレクトに従うように要求され、30X HTTPレスポンスコードが返された場合は、「Location:」のURLに記載されたホストにもレスポンスヘッダー値を送信します。後続のホストに同じヘッダーセットを送信することは、カスタムの「Authorization:」ヘッダーを渡すアプリケーションにとって特に問題になります。このヘッダーには、他人がlibcurlを使用するクライアントのリクエストを偽装できるプライバシー秘密情報やデータが含まれることがあるためです。(CVE-2018-1000007)

- curl の FTP URL 処理におけるバッファオーバーフローが、curl 7.12.3 から curl 7.58.0 の現行バージョンに存在し、攻撃者がサービス拒否攻撃またはそれ以上の悪影響を引き起こす可能性があります。(CVE-2018-1000120)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。