Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

23/04/2015

Actualització de curl en Debian

Publicada una actualització de curl que resol diverses vulnerabilitats en Debian.

S’han descobert diverses vulnerabilitats en cURL, i la llibreria URL:

• CVE-2015-3143
  Les connexions NTLM autenticades podrien reutilitzar peticions sense usar el conjunt de credencials en ús, la qual cosa permetria l’enviament de peticions HTTP sobre la connexió autenticada com un usuari diferent.

• CVE-2015-3144A
  Quan s’examina una URL sense nom de host (per exemple http://:80), libcurl, intentaria llegir una direcció de memòria incorrecta. Açò podria permetre un atacant remot causar una denegació de servici. Esta vulnerabilitat només afecta les versions jessie and unstable (sid).

• CVE-2015-3145A
  Quan s’examinen cookies HTTP, si la ruta de la cookie inclou només un parell de cometes, libcurl intentarà escriure a una direcció de memòria incorrecta. Açò podria permetre un atacant causar una denegació de servici. Esta vulnerabilitat només afecta les versions jessie and unstable (sid).

• CVE-2015-3148
  Durant les peticions HTTP en què s’usa el mètode de negociació de l’autenticació juntament amb NTLM, la connexió usada no es marcarà com autenticada, i possibilita la seua reutilització i l’enviament de peticions d’un usuari diferent sobre la connexió autenticada.

Sistemes Afectats:

Versions de Debian wheezy, jessie i sid.

Referències:

CVE-2015-3143, CVE-2015-3144, CVE-2015-3145, CVE-2015-3148

Solució:

Recomanem actualitzar els paquets de curl.

• Per a wheezy, estos problemes s’han solucionat en la versió 7.26.0-1+wheezy13.
• Per a jessie, estos problemes s’han solucionat en la versió 7.38.0-4+deb8u1.
• Per a sid, estos problemes s’han solucionat en la versió 7.42.0-1.

Notes: None

CSIRT-CV