Oracle Linux 3 / 4 / 5:curl (ELSA-2009-0341)

medium Nessus 插件 ID 67821

简介

远程 Oracle Linux 主机缺少一个或多个安全更新。

描述

来自 Red Hat 安全公告 2009:0341:

更新后的 curl 程序包修复了一个安全问题,现在可用于 Red Hat Enterprise Linux 2.1、3、4 和 5。

Red Hat 安全响应团队将此更新评级为具有中等安全影响。

cURL 是用于从 FTP、HTTP、Gopher、Telnet 和 DICT 服务器中获取文件的工具,该工具使用任何受支持的协议。 cURL 旨在无需用户交互或任何类型的互动便可进行工作。

David Kierznowski 发现 libcurl 存在缺陷,即在处理自动化重定向时,未区分不同的目标 URL。这会导致 libcurl 进入其能够理解的任意新 URL,包括“file://”URL 类型。这可能使远程服务器强迫使用 libcurl 的本地应用程序读取本地文件而不是远程文件,从而可能泄漏本不欲泄漏的本地文件。(CVE-2009-0037)

注意:使用 libcurl 且预期重定向到 'file://' 协议的应用程序,现在必须明确调用 curl_easy_setopt(3),并按要求设置新引入的 CURLOPT_REDIR_PROTOCOLS 选项。

cURL 用户应升级这些更新后的程序包,其中包含用于修正这些问题的向后移植的修补程序。必须重新启动所有正在运行的使用 libcurl 的应用程序才能使更新生效。

解决方案

更新受影响的 curl 程序包。

另见

https://oss.oracle.com/pipermail/el-errata/2009-March/000919.html

https://oss.oracle.com/pipermail/el-errata/2009-March/000921.html

https://oss.oracle.com/pipermail/el-errata/2009-March/000924.html

插件详情

严重性: Medium

ID: 67821

文件名: oraclelinux_ELSA-2009-0341.nasl

版本: 1.10

类型: local

代理: unix

发布时间: 2013/7/12

最近更新时间: 2021/1/14

支持的传感器: Frictionless Assessment Agent, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 6.6

CVSS v2

风险因素: Medium

基本分数: 6.8

时间分数: 5.3

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

漏洞信息

CPE: p-cpe:/a:oracle:linux:curl, p-cpe:/a:oracle:linux:curl-devel, cpe:/o:oracle:linux:3, cpe:/o:oracle:linux:4, cpe:/o:oracle:linux:5

必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux

可利用: true

易利用性: Exploits are available

补丁发布日期: 2009/3/19

漏洞发布日期: 2009/3/4

参考资料信息

CVE: CVE-2009-0037

BID: 33962

CWE: 352

RHSA: 2009:0341