CVE-2019-3822
Təsvir
libcurl-un 7.36.0 versiyasından 7.64.0 versiyasına qədər olan versiyaları stek əsaslı bufer daşmasına qarşı həssasdır. Çıxan NTLM tip-3 başlığını yaradan funksiya (`lib/vauth/ntlm.c:Curl_auth_create_ntlm_type3_message()`), sorğu HTTP başlığının məzmununu əvvəllər alınmış məlumatlar əsasında generasiya edir. Lokal buferin daşmasının qarşısını almaq üçün mövcud olan yoxlama yanlış tətbiq edilmişdir (işarəsiz riyazi hesablamalardan istifadə olunub) və buna görə də o, daşmanın baş verməsinin qarşısını almır. Zərərli və ya xarab olmuş HTTP serveri tərəfindən təmin edilən əvvəlki NTLMv2 başlığından çox böyük 'nt response' məlumatları çıxarıldıqda, bu çıxış məlumatları lokal buferdən daha böyük ola bilər. Belə bir 'böyük dəyər' təxminən 1000 bayt və ya daha çox olmalıdır. Hədəf buferə kopyalanan aktual faydalı yük (payload) məlumatları NTLMv2 tip-2 cavab başlığından gəlir.
Necə düzəltmək olar
- haxx libcurl7.64.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| haxx libcurl | 7.36.0 ≤ v < 7.64.0 | 7.64.0 |
| canonical ubuntu_linux | 14.04, 16.04, 18.04, 18.10 | — |
| debian debian_linux | 9.0 | — |
| netapp active_iq_unified_manager | 7.3 ≤ v, 9.5 ≤ v | — |
| netapp clustered_data_ontap | Aralıq göstərilməyib | — |
| netapp oncommand_insight | Aralıq göstərilməyib | — |
| netapp oncommand_workflow_automation | Aralıq göstərilməyib | — |
| netapp snapcenter | Aralıq göstərilməyib | — |
| siemens sinema_remote_connect_client | v ≤ 2.0 | — |
| oracle communications_operations_monitor | 3.4, 4.0 | — |
| oracle enterprise_manager_ops_center | 12.3.3, 12.4.0 | — |
| oracle http_server | 12.2.1.3.0 | — |
| oracle mysql_server | v ≤ 5.7.26, 5.7.27 ≤ v ≤ 8.0.15 | — |
| oracle secure_global_desktop | 5.4 | — |
| oracle services_tools_bundle | 19.2 | — |
| redhat enterprise_linux | 8.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.