Curl 8.4.0, kusurun şiddetine ilişkin bir hafta süren endişeleri hafifleterek, yüksek şiddetli güvenlik güvenlik açığı (CVE-2023-38545) ile ilgili ayrıntıları yamalamak ve yayınlamak için yayınlandı.
Curl, en yaygın olarak web sitelerine bağlanmak için kullanılan çeşitli protokoller üzerinden veri aktarmanıza izin veren bir komut satırı yardımcı programıdır. İlişkili bir Libcurl kütüphanesi, geliştiricilerin kolay dosya aktarım desteği için Curl'u uygulamalarına dahil etmelerini sağlar.
4 Ekim'de, kıvrılma geliştiricisi Daniel Stenberg, Curl 8.4.0 için geliştirme döngüsünün kısa kesileceği konusunda uyardı ve yeni versiyonun 11 Ekim'de bir kırılganlığı çözeceği, uzun zamandır görülen en kötü kıvrım güvenlik kusurunu uyarmak için piyasaya sürüleceğini söyledi. .
Stenberg, "Serbest bırakma döngüsünü kısa kesiyoruz ve 11 Ekim'de Curl 8.4.0'ı, şiddetli yüksek CVE ve bir şiddeti düşüktür."
Diyerek şöyle devam etti: "Yüksek puan alan tek şey muhtemelen uzun zamandır en kötü kıvrımlı güvenlik kusuru."
Curl ve Libcurl birçok kütüphanede ve uygulamada yaygın olarak kullanıldığından ve hemen hemen her işletim sistemi ile paketlendiğinden, bu duyuru, geniş bir etkiye sahip olacağı ve birçok cihazı riske atacağı endişesi konusunda sosyal medyaya birçok makale ve yayınla sonuçlandı. .
Çarşamba günü, Stenberg iki güvenlik açığı için düzeltmelerle Curl 8.4.0'ı yayınladı: yüksek şiddetli bir yığın tamponu taşma hatası (CVE-2023-38545) ve düşük şiddetli çerez enjeksiyon kusuru (CVE-2023-38546).
Stenberg'in gelişmiş uyarı sağladığı kusur, Curl’ın SOCKS5 Proxy Protokol uygulamasında yüksek şiddetli yığın tampon taşmasıdır.
Stenberg, "Curl 8.4.0'ın piyasaya sürülmesiyle birlikte, bir güvenlik danışmanlığı ve CVE-2023-38545 için tüm detaylar yayınlıyoruz."
Diyerek şöyle devam etti: "Bu sorun, Curl'da uzun süre bulunan en kötü güvenlik sorunudur. Bunu şiddete yükselttik."
Bir yığın arabelleği taşma hatası, bir programın tahsis edilen bir bellek bölgesine tutabileceğinden daha fazla veri yazılmasına izin verdiği zamandır. Bu, girilen verilerin diğer bellek bölgelerinin üzerine ve yozlaşmış verilerin üzerine yazmasına neden olur, bu da uygulama çökmelerine ve potansiyel olarak uzaktan kod yürütülmesine yol açar.
Kusur, kıvırma kullanıcılarını etkileme potansiyeline sahip olsa da, güvenlik açığından yararlanma gereksinimleri, CURL istemcisinin uzak bir siteye ve için bağlantı kurarken bir SOCKS5 proxy kullanacak şekilde yapılandırılmasını gerektirdiğinden, başlangıçta beklenenden çok daha az tehlikeli hale getirir. etkinleştirilecek otomatik yönlendirme.
Ayrıca, uzak bölgeye yavaş SOCKS5 bağlantısı gerektiren kusurdan başarılı bir şekilde yararlanmak için zamanlama gereksinimi de vardır.
"Curl adresin kendisini çözemezse, ana bilgisayar adını SOCKS5 proxy'ye geçirir. Bununla birlikte, aktarılabilen ana bilgisayar adının maksimum uzunluğu 255 bayttır."
Diyerek şöyle devam etti: "Ana bilgisayar adı daha uzunsa, Curl yerel ada geçer ve çözülen adresi yalnızca proxy'ye geçirir."
"Curl'a 'ana bilgisayarın adını çözmesine izin vermesini' talimat veren yerel değişken, yavaş çorap 5 el sıkışma sırasında yanlış değeri elde edebilir, bu da çok uzun ana bilgisayar adının, çözülmüş adres yerine hedef arabelleğine kopyalanmasına neden olmasına neden olur, bu da amaçlanan davranış. "
Bu kusurdan yararlanmak için bir saldırgan, bir ziyaretçiyi çok uzun bir ana bilgisayar adına (binlerce karakter düşünün) yönlendiren bir web sitesi oluşturabilir, bu da girilen verilerin yığın arabelleği taşma hatasını tetiklemesine ve programı çökertmesine neden olur.
Araştırmacılar, oldukça kolay sömürülse de, BleepingComputer'a mevcut kavram kanıtıdan yararlanmalarının sadece kıvrılmanın çökmesine neden olduğunu ve yürütme kodundan ziyade bir hizmet saldırısına yol açtığını söyledi.
Ayrıca, Curl kullanan çoğu insan SOCKS5 aracılığıyla bağlanmadığından, hata onları etkilemez.
CVE-2023-38545 güvenlik açığının hedeflemede yararlı olabileceği bir grup insan siber güvenlik araştırmacıları ve geliştiricileridir.
Hacker House Kurucu Ortağı ve Güvenlik Araştırmacısı Matthew Hickey (diğer adıyla Hackerfantastic), BleepingComputer'a siber güvenlik araştırmacılarının ve geliştiricilerinin API'leri talep etmek için SOCKS5 proxy'lerini kullanmalarının yaygın olduğunu söyledi.
"Curl kullanıcısı tarafından etkinleştirilmesi için bir Çorap5 proxy'sinin kullanılmasını gerektirir, bu aslında insanlar güvenlik testi, hata ayıklama veya diğer teknik çalışmalar için API'lardan istediklerinde oldukça yaygındır - Tor hizmetlerini Curl AS gibi araçları kullanarak araştırırken de yaygındır. Hickey, bir konuşmada BleepingComputer'a verdiği demeçte, genellikle bir Socks5 proxy gerektirir.
"Benzer şekilde, kötü karakterler gereksinimi bir sorun değildir, çünkü güvenlik açığı bir HTTP 302 yanıtı ile tetiklenebilir, yani saldırganın sağladıkları karakterlerin tamamen kontrolünde olduğu ve diğerleri gibi teslimat. "
Hickey, bunun düzgün bir şekilde silahlanması için zaman ve çaba gerektirecek karmaşık bir hata olduğuna inanıyor olsa da, kullanıcıların kusurları güvence altına almak için yeni sürüme yükseltmesini önerir.
Ayrıca, daha fazla araştırmacı hatayı dikkatlice analiz ettikçe, kod yürütülmesine yol açan daha sofistike istismarların geliştirilmesi mümkündür.
CISA, halka açık su kamu hizmetleri için ücretsiz güvenlik taramaları sunar
Bu indirimli kurs paketi ile siber güvenlik becerilerini öğrenin - sadece 46 $
CISA, fidye yazılımı çeteleri tarafından kullanılan güvenlik açıklarını, yanlış konfigürasyonları paylaşıyor
Üretken AI Güvenliği: Microsoft Copilot Veri Maruzunu Önleme
Microsoft: Eylül ayından bu yana Confluence Zero Day'den yararlanan eyalet hackerları
Kaynak: Bleeping Computer