curl に以下の脆弱性が修正されました：

- IMAP、POP3 および SMTP URL のサニタイズの脆弱性（CVE-2012-0036）

- SSL_OP_DONT_INSERT_EMPTY_FRAGMENTS を無効にします（CVE-2011-3389）

- より古い openssl バージョンでは、SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG オプションを無効にします（CVE-2010-4180）

- IMAP、POP3 および SMTP URL のサニタイズを修正します（bnc#740452、CVE-2012-0036）

- 古い OpenSSL バージョンに対する構築の際に SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG オプションを無効化します（CVE-2010-4180）。

- SSL_OP_DONT_INSERT_EMPTY_FRAGMENTS を無効にしません（bnc#742306,、CVE-2011-3389）。

Dan Fandrich 氏は、curl が埋め込まれているかパーセントエンコードされているコントロール文字を含む URL を不適切に処理したことを発見しました。ユーザーもしくは自動化システムが騙されて、特別に細工された URL を処理した場合、任意のデータが注入される可能性があります。

無効データが含まれている URL の拒否（CVE-2012-0036）

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

URL 転送ライブラリである cURL に、いくつかの脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2011-3389 この更新は「BEAST」攻撃に対する OpenSSL の回避策を有効化します。詳細については、cURL アドバイザリを参照してください。

- CVE-2012-0036 Dan Fandrich 氏は、cURL が URL のファイルパス部を抽出する際、不十分なサニタイズを行うことを発見しました。

リモートホストは、GLSA-201203-02 で説明されている脆弱性の影響を受けます（cURL：複数の脆弱性）

cURL に複数の脆弱性が見つかりました：
 zlib が有効のとき、自動展開のためにアプリケーションに送信されるデータ量が制限されません（CVE-2010-0734）。
 GSSAPI 認証の実行時、常に認証情報の委任が使用されます（CVE-2011-2192）。
 SSL が有効のとき、cURL は、SSL および TLS プロトコルの情報漏洩の脆弱性を緩和するための OpenSSL の回避策を不適切に無効にします（CVE-2011-3389）。
 libcurl は、IMAP、POP3 または SMTP URL のエスケープコントロール文字のファイルパスを適切に検証しません（CVE-2012-0036）。
 影響：

リモートの攻撃者がユーザーまたは自動プロセスを誘導し、cURL を使用する特別に細工されたファイルまたは URL を開かせることで、任意のコードのリモート実行、サービス拒否状態、機密情報の漏洩、または IMAP、POP3 または SMTP プロトコルを通じた望まないアクションの実行を発生させる可能性があります。さらに、リモートサーバーが、GSSAPI リクエストを通じてクライアントになりすますことができる可能性があります。
 回避策：

現時点で、既知の回避策はありません。

curl に対するこの更新では、次のセキュリティ問題を修正しています。

- 潜在的な DTLS の傍受攻撃を回避するためにも、SSL_OP_ALL は設定しないでください。（CVE-2012-0036）

リモートホストが、バージョン 10.7.4 より前の Mac OS X 10.7.x を実行しています。新しいバージョンには、次のコンポーネントに対する、複数のセキュリティ関連の修正が含まれています：

- Login Window
 - Bluetooth
 - curl
 - HFS
 - Kernel
 - libarchive
 - libsecurity
 - libxml
 - LoginUIFramework
 - PHP
 - Quartz Composer
 - QuickTime
 - Ruby
 - Security Framework
 - Time Machine
 - X11

注意：この更新は、最近の FileVault パスワードの脆弱性に対処します。FileVault のレガシーバージョンが Lion へのシステムアップグレード後にユーザーディレクトリを暗号化するために使用されると、ユーザーパスワードがシステムワイドのデバッグログに対して平文で保存されます。パッチがさらなる漏洩を制限するだけのものであるため、OS X 10.7 へのアップグレードの前後の FireVault のレガシーバージョンを使用して、ユーザーフォルダーが暗号化されている場合、システムの全ユーザーがパスワードを変更することが推奨されます。

curl にて、複数の脆弱性が見つかり、修正されています：

curl には、SSL/TLS レイヤーの OpenSSL 使用のためのビルトにおいて、SSL CBC IV 脆弱性があります。問題を緩和するため、回避策が追加されています。（CVE-2011-3389）

curl は、埋め込まれたコントロール文字、あるいは URL のパーセントエンコードを通じて特定のプロトコルに対して実行されるデータインジェクション攻撃の脆弱性があります。（CVE-2012-0036）

更新パッケージには、これらの問題を修正するため、パッチが適用されています。

Web サーバーのバナーによると、リモートホストでホストされている HP System Management Homepage（SMH）は、7.1.1 より前のバージョンです。そのため、報告されているところによると、以下の脆弱性の影響を受けます。

  - バンドルされているバージョンの libxml2 ライブラリに、複数の脆弱性が含まれています。（CVE-2011-1944、CVE-2011-2821、CVE-2011-2834）

  - バンドルされているバージョンの PHP に、複数の脆弱性が含まれています。（CVE-2011-3379、CVE-2011-4153、CVE-2011-4885、CVE-2012-1823、CVE-2012-0057、CVE-2012-0830）

  - バンドルされているバージョンの Apache HTTP Server に複数の脆弱性が含まれています。（CVE-2011-3607、CVE-2011-4317、CVE-2011-4415、CVE-2012-0021、CVE-2012-0031、CVE-2012-0053)

  - 組み込み RoundCube Webmail バージョンの「include/iniset.php」スクリプトに問題があり、これによってサービス拒否が発生することがあります。（CVE-2011-4078）

  - バンドルされているバージョンの OpenSSL に、複数の脆弱性が含まれています。（CVE-2011-4108、CVE-2011-4576、CVE-2011-4577、CVE-2011-4619、CVE-2012-0027、CVE-2012-1165）

  - バンドルされているバージョンの curl および libcurl が、URL からのパス名の抽出時に特殊文字を適切に考慮しません。（CVE-2012-0036）
    
  - 未特定のフォームフィールドにオートコンプリート off 属性が存在しません。これにより、リモートの攻撃者が、無人のワークステーションを利用してアクセス権を取得することが簡単になります。（CVE-2012-2012）

  - 未特定の脆弱性が存在することにより、リモートの攻撃者が、サービス拒否を発生することや、場合によっては機密情報を取得することや、データを変更することができる場合があります。
    （CVE-2012-2013）

  - 不適切な入力検証に関連する未特定の脆弱性が存在します。（CVE-2012-2014）

  - 未特定の脆弱性により、認証されていないリモートユーザーが権限を取得して、機密情報を入手できます。（CVE-2012-2015）

  - 未特定の脆弱性により、ローカルユーザーが未知のベクトルを介して機密情報を取得できます。
    （CVE-2012-2016）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
75806	openSUSE セキュリティ更新：curl（openSUSE-SU-2012:0229-1）（BEAST）	Nessus	SuSE Local Security Checks	2014/6/13	2022/12/5	high
74807	openSUSE のセキュリティ更新：curl（openSUSE-2012-76）（BEAST）	Nessus	SuSE Local Security Checks	2014/6/13	2022/12/5	high
57689	Ubuntu 10.10 / 11.04 / 11.10： curl 脆弱性（USN-1346-1）	Nessus	Ubuntu Local Security Checks	2012/1/25	2019/9/19	high
57897	Fedora 15：curl-7.21.3-13.fc15（2012-0888）	Nessus	Fedora Local Security Checks	2012/2/13	2021/1/11	high
57738	Debian DSA-2398-2：curl - 複数の脆弱性（BEAST）	Nessus	Debian Local Security Checks	2012/1/31	2022/12/5	high
58212	GLSA-201203-02：cURL：複数の脆弱性（BEAST）	Nessus	Gentoo Local Security Checks	2012/3/6	2022/12/5	high
57842	SuSE 10 セキュリティ更新：curl（ZYPP パッチ番号 7937）	Nessus	SuSE Local Security Checks	2012/2/6	2021/1/19	high
59066	Mac OS X 10.7.x < 10.7.4 複数の脆弱性（BEAST）	Nessus	MacOS X Local Security Checks	2012/5/10	2022/12/5	critical
57719	Fedora 16：curl-7.21.7-6.fc16（2012-0894）	Nessus	Fedora Local Security Checks	2012/1/30	2021/1/11	high
58759	Mandriva Linux セキュリティアドバイザリ：curl（MDVSA-2012:058）	Nessus	Mandriva Local Security Checks	2012/4/16	2022/12/5	high
59851	HP System Management Homepage < 7.1.1 の複数の脆弱性	Nessus	Web Servers	2012/7/5	2022/4/11	critical

検出

プラグインの検索

high

high

high

high

high

high

high

critical

high

high

critical