Scientific Linux セキュリティ更新：SL3.x、SL4.x、SL5.x i386/x86_64 の curl

medium Nessus プラグイン ID 60548

Language:

概要

リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。

説明

David Kierznowski 氏が、自動リダイレクトの処理時に libcurl が異なるターゲット URL を区別しない欠陥を発見しました。これにより、libcurl は理解した新しい任意の URL にフォローしていました。これには、「file://」URL タイプも含まれます。これにより、リモートサーバーが、ローカルの libcurl を使用するアプリケーションにリモートファイルの代わりにローカルファイルの読み込みを強制することが可能です。これは、公開するべきはないローカルファイルの公開を引き起こす可能性があります。（CVE-2009-0037）

注：「file://」プロトコルへのリダイレクトにフォローすることが期待される libcurl を使用するアプリケーションは、curl_easy_setopt(3) を明示的に呼び出し、必要に応じて新規導入された CURLOPT_REDIR_PROTOCOLS オプションを設定しなければならなくなりました。

更新を有効にするには、libcurl を使用している実行アプリケーションを全て再起動する必要があります。