已修复 curl 中的以下漏洞：

- IMAP、POP3 和 SMTP URL 审查漏洞 (CVE-2012-0036)

- 禁用 SSL_OP_DONT_INSERT_EMPTY_FRAGMENTS (CVE-2011-3389)

- 禁用较旧 openssl 版本的 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 选项 (CVE-2010-4180)

- 修复 IMAP、POP3 和 SMTP URL 审查（bnc#740452、CVE-2012-0036）

- 针对较低的 OpenSSL 版本进行构建时禁用 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 选项 (CVE-2010-4180)。

- 不启用 SSL_OP_DONT_INSERT_EMPTY_FRAGMENTS（bnc#742306、CVE-2011-3389）。

Dan Fandrich 发现 curl 未正确处理包含嵌入或百分号编码控制字符的 URL。如果用户或自动化系统受到诱骗处理特别构建的 URL，则可注入任意数据。

拒绝包含损坏数据的 URL (CVE-2012-0036)

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已发现 cURL（一个 URL 传输库）中存在多个漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2011-3389 此更新启用了针对“'BEAST”攻击的 OpenSSL 变通方案。可在 cURL 公告中找到其他详细信息：

- CVE-2012-0036 Dan Fandrich 发现提取 URL 的文件路径部分时 cURL 执行不充分的审查。

curl 的此更新修复了以下安全问题：

- 不设置 SSL_OP_ALL 以避免潜在的 DTLS 嗅探攻击。(CVE-2012-0036)

远程主机受到 GLSA-201203-02 中所述漏洞的影响（cURL：多个漏洞）

    在 cURL 中发现多种漏洞：
      启用 zlib 时，未限制发送到用于自动解压缩的应用程序的数据量 (CVE-2010-0734)。
      执行 GSSAPI 认证时，始终使用凭据委派 (CVE-2011-2192)。
      启用 SSL 时，cURL 未正确禁用 OpenSSL 变通方案以缓解 SSL 和 TLS 协议中的信息泄露漏洞 (CVE-2011-3389)。
      libcurl 未正确验证用于 IMAP、POP3 或 SMTP URL 中的转义控制字符的文件路径 (CVE-2012-0036)。
  影响：

    远程攻击者可诱使用户或自动化进程打开特别构建的文件或使用 cURL 的 URL，从而可能导致远程执行任意代码、拒绝服务情况、敏感信息泄露，或通过 IMAP、POP3 或 SMTP 协议执行不需要的操作。此外，远程服务器可能通过 GSSAPI 请求冒充客户端。
  变通方案：

    目前无任何已知的变通方案。

远程主机正在运行低于 10.7.4 的 Mac OS X 10.7.x 版本。更新的版本包含针对以下组件的与安全有关的多个补丁：

- Login Window
 - Bluetooth
 - curl
 - HFS
 - Kernel
 - libarchive
 - libsecurity
 - libxml
 - LoginUIFramework
 - PHP
 - Quartz Composer
 - QuickTime
 - Ruby
 - Security Framework
 - Time Machine
 - X11

请注意，此更新解决了最新的 FileVault 密码漏洞，其中如果在系统升级到 Lion 后，旧 FileVault 版本用于加密用户目录，则用户密码会以明文存储到系统范围的调试日志。由于该修补程序仅限制进一步暴露，如果在升级到 OS X 10.7 之前和以后使用旧 FileVault 版本来加密用户文件夹，我们仍建议系统的所有用户更改其密码。

在 curl 中发现并修正了多种漏洞：

被构建为将 OpenSSL 用于 SSL/TLS 层时，curl 容易受到一个 SSL CBC IV 漏洞的影响。添加了变通方案以缓解此问题 (CVE-2011-3389)。

curl 容易遭受通过 URL 中嵌入或百分号编码的控制字符对某些协议进行的数据注入攻击 (CVE-2012-0036)。

更新后的程序包已进行修补，以修正这些问题。

根据 web 服务器的标题，远程主机上托管的 HP System Management Homepage (SMH) 版本低于 7.1.1，因此报告指出可能受到以下漏洞的影响：

- libxml2 库的捆绑版本包含多种漏洞。（CVE-2011-1944、CVE-2011-2821、CVE-2011-2834）

- PHP 的捆绑版本包含多种漏洞。（CVE-2011-3379、CVE-2011-4153、CVE-2011-4885、CVE-2012-1823、CVE-2012-0057、CVE-2012-0830）

- Apache HTTP Server 的捆绑版本包含多种漏洞。（CVE-2011-3607、CVE-2011-4317、CVE-2011-4415、CVE-2012-0021、CVE-2012-0031、CVE-2012-0053）

- 嵌入的 RoundCube Webmail 版本的“include/iniset.php”脚本中存在一个问题，可导致拒绝服务。(CVE-2011-4078)

- OpenSSL 的捆绑版本包含多种漏洞。（CVE-2011-4108、CVE-2011-4576、CVE-2011-4577、CVE-2011-4619、CVE-2012-0027、CVE-2012-1165）

- curl 和 libcurl 的捆绑版本在从 URL 中抽取路径名称时无法正确考虑特殊字符。(CVE-2012-0036) 
 - 不明表单字段没有 off autocomplete 属性，导致远程攻击者更容易通过利用无人看管的工作站获得访问权限。(CVE-2012-2012)

- 存在一个不明漏洞，可允许远程攻击者造成拒绝服务，或者可能获得敏感信息或修改数据。
 (CVE-2012-2013)

- 存在一个与不当输入验证相关的不明漏洞。(CVE-2012-2014)

- 存在不明漏洞，导致未经认证的远程用户获取权限和敏感信息。(CVE-2012-2015)

- 存在不明漏洞，导致本地用户通过未知矢量获取敏感信息。
 (CVE-2012-2016)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
75806	openSUSE 安全更新：curl (openSUSE-SU-2012:0229-1) (BEAST)	Nessus	SuSE Local Security Checks	2014/6/13	2022/12/5	high
74807	openSUSE 安全更新：curl (openSUSE-2012-76) (BEAST)	Nessus	SuSE Local Security Checks	2014/6/13	2022/12/5	high
57689	Ubuntu 10.10 / 11.04 / 11.10：curl 漏洞 (USN-1346-1)	Nessus	Ubuntu Local Security Checks	2012/1/25	2019/9/19	high
57897	Fedora 15：curl-7.21.3-13.fc15 (2012-0888)	Nessus	Fedora Local Security Checks	2012/2/13	2021/1/11	high
57738	Debian DSA-2398-2：curl - 多个漏洞 (BEAST)	Nessus	Debian Local Security Checks	2012/1/31	2022/12/5	high
57842	SuSE 10 安全更新：curl（ZYPP 修补程序编号 7937）	Nessus	SuSE Local Security Checks	2012/2/6	2021/1/19	high
58212	GLSA-201203-02：cURL：多种漏洞 (BEAST)	Nessus	Gentoo Local Security Checks	2012/3/6	2022/12/5	high
59066	Mac OS X 10.7.x < 10.7.4 多种漏洞 (BEAST)	Nessus	MacOS X Local Security Checks	2012/5/10	2022/12/5	critical
58759	Mandriva Linux 安全公告：curl (MDVSA-2012:058)	Nessus	Mandriva Local Security Checks	2012/4/16	2022/12/5	high
57719	Fedora 16：curl-7.21.7-6.fc16 (2012-0894)	Nessus	Fedora Local Security Checks	2012/1/30	2021/1/11	high
59851	HP System Management Homepage < 7.1.1 多种漏洞	Nessus	Web Servers	2012/7/5	2022/4/11	critical

检测

插件搜索

high

high

high

high

high

high

high

critical

high

high

critical