Debian DSA-2271-1：curl - クライアント認証情報の不適切な委任

medium Nessus プラグイン ID 55491

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Richard Silverman 氏は、GSSAPI 認証を行う際、libcurl が認証情報の委任を条件なしで行っていることを発見しました。これにより、クライアントのセキュリティ認証情報のコピーがサーバーに渡され、同じ GSSAPI メカニズムを使用して、サーバーがクライアントになりすます可能性があります。これは明らかに、非常にデリケートな操作です。ユーザーが明確にぢレクトする際にのみ行われる必要があります。

ソリューション

curl パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（lenny）では、この問題はバージョン 7.18.2-8lenny5 で修正されています。

安定版（stable）ディストリビューション(squeeze)の場合、この問題はバージョン 7.21.0-2 で修正済みです。