CVE-2017-7468
Açıklama
curl ve libcurl 7.52.0 ile 7.53.1 dahil arasındaki sürümlerde, libcurl istemci sertifikası değişmiş olsa bile bir TLS oturumunu yeniden başlatmaya çalışmaktadır. Spesifikasyon gereği sunucunun yeniden başlatma sırasında istemci sertifika kontrolünü atlamasına izin verildiğinden ve bunun yerine önceki sertifika (veya sertifika yokluğu) ile oluşturulmuş eski kimliği kullanabileceğinden bu durum kabul edilemez. libcurl, sonraki TLS el sıkışmalarını hızlandırmak için önceki TLS oturumlarını yeniden başlatmak amacıyla varsayılan olarak TLS session id/ticket kullanımını destekler. Bunlar, herhangi bir nedenle mevcut bir TLS bağlantısının açık tutulamadığı durumlarda bir sonraki el sıkışmasını hızlandırmak için kullanılır. Bu hata bir regresyondur ve 3 Ağustos 2016 tarihinde bildirilen CVE-2016-5419 ile aynıdır, ancak farklı bir sürüm aralığını etkilemektedir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| haxx libcurl | 7.52.0 ≤ v ≤ 7.53.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.