Debian DSA-3069-1：curl - セキュリティ更新

medium Nessus プラグイン ID 79065

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Symeon Paraschoudis は、URL 転送ライブラリである cURL 内の curl_easy_duphandle() 関数にバグがあり、HTTP POST 操作の実行中に libcurl が送信を意図していない機密データを送信する可能性があることを発見しました。

このバグは CURLOPT_COPYPOSTFIELDS および curl_easy_duphandle() をこの順番で使用する必要があり、HTTP POST を実行するために重複ハンドルを使用する必要があります。curl コマンドラインツールはこのシーケンスを使用しないため、この問題の影響を受けません。

ソリューション

curl パッケージをアップグレードしてください。

安定版（stable）ディストリビューション（wheezy）では、この問題はバージョン 7.26.0-1+wheezy11 で修正されています。

次回の安定版（stable）ディストリビューション（jessie）では、この問題はバージョン 7.38.0-3 で修正されることになります。