curlの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。curlパッケージは、HTTP、FTP、LDAPを含む、さまざまなプロトコルを使用してサーバーからファイルをダウンロードするためのlibcurlライブラリおよびcurlユーティリティを提供します。セキュリティ修正プログラム：* libcurlライブラリは、クライアント証明書が変更されたときにTLSセッションの再開を防止しないことがわかりました。攻撃者は、以前に作成した接続を別のクライアント証明書と併用することにより、この欠陥を利用して接続の認証を乗っ取る可能性があります。（CVE-2016-5419）* 再利用のためにTLS接続を選択するときにlibcurlライブラリがクライアント証明書をチェックしないことがわかりました。攻撃者は、以前に作成した接続を別のクライアント証明書と併用することにより、この欠陥を利用して接続の認証を乗っ取る可能性があります。（CVE-2016-5420）* TLS/SSLバックエンドとしてNSS（Network Security Services）ライブラリを使用するlibcurlライブラリが、場合によっては後続のTLS接続でクライアント証明書を不適切に再利用することがわかりました。攻撃者は、以前に作成した接続を別のクライアント証明書と併用することにより、この欠陥を利用して接続の認証を乗っ取る可能性があります。（CVE-2016-7141）追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.3リリースノートを参照してください。

検出

RHEL 7：curl（RHSA-2016:2575）

high Nessus プラグイン ID 94538

バージョン 2.12