Red Hat セキュリティアドバイザリ 2009:1209 から：

セキュリティの問題を修正する更新済みの curl パッケージが、Red Hat Enterprise Linux 3、4、5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

cURL は、サポートされている任意のプロトコルを使用して、FTP、HTTP、Gopher、Telnet、および Dict サーバーからファイルを入手するためのツールです。cURL はユーザーとのやり取りや対話なしに機能するように設計されています。

Scott Cantor 氏は、cURL が過去に公開された「null プレフィックス攻撃」の影響を受けることを報告しました。これは、X.509 証明書の NULL 文字の不適切な処理によって引き起こされます。攻撃者が、信頼される認証局による署名がある注意深く細工された証明書を取得できた場合、中間者攻撃の最中にこの証明書を使用し、 cURL を混乱させて誤ってこれを受け入れさせる可能性があります。(CVE-2009-2417)

cURL のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。更新を有効にするには、libcurl を使用している実行アプリケーションを全て再起動する必要があります。

検出

Oracle Linux 3/4/5：curl（ELSA-2009-1209）

high Nessus プラグイン ID 67910

変更ログが見つかりません