CVE-2022-42916
Təsvir
curl-un 7.86.0 versiyasından əvvəlki versiyalarında, HSTS yoxlamasından yan keçərək proqramı HTTP protokolunda qalmağa məcbur etmək mümkündürdü. HSTS dəstəyindən istifadə edərək, URL-də HTTP təqdim edildiyi halda belə, curl-a birbaşa HTTPS-dən istifadə etmək (təhlükəsiz olmayan açıq mətnli HTTP mərhələsindən istifadə etmək əvəzinə) göstərişi verilə bilər. Əgər verilmiş URL-dəki host adı, IDN konversiyasının bir hissəsi kimi ASCII qarşılıqları ilə əvəz olunan IDN simvollarından istifadə edirsə, bu mexanizmdən yan keçmək mümkün idi; məsələn, adi ASCII nöqtə simvolu olan U+002E (.) əvəzinə UTF-8 U+3002 (IDEOGRAPHIC FULL STOP) simvolundan istifadə edilməsi. Təsirə məruz qalan ən erkən versiya 7.77.0 2021-05-26-dır.
Necə düzəltmək olar
- haxx curl7.86.0 və ya daha yeni versiya
- apple macos12.6.3, 13.2 və ya daha yeni versiya
- splunk universal_forwarder8.2.12, 9.0.6 və ya daha yeni versiya
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HVU3IMZCKR4VE6KJ4GCWRL2ILLC6OV76/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Q27V5YYMXUVI6PRZQVECON32XPVWTKDK/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/37YEVVC6NAF6H7UHH6YAUY5QEVY6LIH2/
- security.gentoo.org/glsa/202212-01
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| haxx curl | 7.77.0 ≤ v < 7.86.0 | 7.86.0 |
| fedoraproject fedora | 35, 36, 37 | — |
| apple macos | v < 12.6.3, 13.0 ≤ v < 13.2 | 12.6.3, 13.2 |
| splunk universal_forwarder | 8.2.0 ≤ v < 8.2.12, 9.0.0 ≤ v < 9.0.6, 9.1.0 | 8.2.12, 9.0.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.