Curl CVE met la communauté de sécurité à l’écoute à mesure que le correctif tombe

Développeur principal Daniel Stenberg a publié une version améliorée de curl Wednesday, qui corrige une vulnérabilité open source de haute gravité qui a mis une grande partie de l’industrie de la cybersécurité en alerte ces derniers jours.

La version de curl 8.4.0 corrige une vulnérabilité répertoriée comme CVE-2023-38545, qui peut être exploitée pour provoquer un débordement de tampon basé sur le tas dans la négociation du proxy SOCKS5.

SOCKS5 est un protocole permettant d’établir des communications réseau via un « intermédiaire », Stenberg a déclaré dans un article de blog.

Stenberg avait précédemment averti que cette vulnérabilité était le pire problème de sécurité rencontré dans curl depuis longtemps et avait insisté pour accélérer la publication de la mise à niveau.

Les chercheurs en sécurité ont surveillé de près cette version, certains comparant même les implications potentielles en matière de sécurité à celles de Log4j.

“Alors que de nombreux éditeurs de logiciels commerciaux publient des correctifs et des mises à jour de sécurité selon un calendrier fixe, il s’agit d’une pratique relativement rare pour les logiciels open source, ce qui souligne l’importance de l’avis à venir pour curl/libcurl”, Henrik Plate, chercheur en sécurité chez Endor Labs, a déclaré mardi dans un communiqué.

Curl, initialement publié en 1997, est un outil largement utilisé pour transférer des fichiers à l’aide de divers protocoles, selon Plate. Curl est l’un des deux outils de ligne de commande quasi-standard utilisés pour transférer des fichiers dans des terminaux de type Unix, a déclaré Plate.

L’outil curl contient un comportement par défaut qui protège normalement contre la vulnérabilité, selon Mike McGuire, responsable principal des solutions logicielles chez Synopsis. Cependant, ces protections ne sont pas incluses dans les versions 7.69.0 à 8.3.0 de libcurl, a déclaré McGuire.

McGuire a déclaré que la nouvelle version 8.4.0 résout le problème en renvoyant un message d’erreur lorsqu’un nom d’hôte dépasse 255 octets, “ce qui est l’une des conditions conduisant au débordement de tampon critique dans les versions vulnérables”.