CVE-2018-1000007
Açıklama
libcurl 7.1 ile 7.57.0 sürümleri, kimlik doğrulama verilerini yanlışlıkla üçüncü taraflara sızdırabilir. HTTP isteklerinde özel üstbilgiler göndermesi istendiğinde libcurl, bu üstbilgi setini önce başlangıçtaki URL'de bulunan ana bilgisayara gönderir; ancak yönlendirmeleri takip etmesi istenmişse ve bir 30X HTTP yanıt kodu dönerse, aynı seti `Location:` yanıt üstbilgisi değerindeki URL'de belirtilen ana bilgisayara da gönderir. Aynı üstbilgi setinin sonraki ana bilgisayarlara gönderilmesi, özellikle özel `Authorization:` üstbilgileri ileten uygulamalar için bir sorundur; çünkü bu üstbilgi genellikle gizlilik açısından hassas bilgiler veya başkalarının libcurl kullanan istemcinin isteğini taklit etmesine izin verebilecek veriler içerir.
Nasıl düzeltilir
- fujitsu m10-1_firmwarexcp2361, xcp3070 ya da sonraki bir sürüm
- fujitsu m10-4_firmwarexcp2361, xcp3070 ya da sonraki bir sürüm
- fujitsu m10-4s_firmwarexcp2361, xcp3070 ya da sonraki bir sürüm
- fujitsu m12-1_firmwarexcp2361, xcp3070 ya da sonraki bir sürüm
- fujitsu m12-2_firmwarexcp2361, xcp3070 ya da sonraki bir sürüm
- fujitsu m12-2s_firmwarexcp2361, xcp3070 ya da sonraki bir sürüm
- usn.ubuntu.com/3554-2/
- usn.ubuntu.com/3554-1/
- access.redhat.com/errata/RHSA-2018:3558
- debian.org/security/2018/dsa-4098
- access.redhat.com/errata/RHSA-2018:3157
- access.redhat.com/errata/RHBA-2019:0327
- access.redhat.com/errata/RHSA-2019:1543
- access.redhat.com/errata/RHSA-2020:0544
- access.redhat.com/errata/RHSA-2020:0594
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| haxx curl | 7.1 ≤ v ≤ 7.57.0 | — |
| debian debian_linux | 7.0, 8.0, 9.0 | — |
| canonical ubuntu_linux | 12.04, 14.04, 16.04, 17.10 | — |
| redhat enterprise_linux_desktop | 7.0 | — |
| redhat enterprise_linux_server | 7.0 | — |
| redhat enterprise_linux_server_aus | 7.4 | — |
| redhat enterprise_linux_server_eus | 7.4, 7.5 | — |
| redhat enterprise_linux_workstation | 7.0 | — |
| fujitsu m10-1_firmware | v < xcp2361, v < xcp3070 | xcp2361, xcp3070 |
| fujitsu m10-4_firmware | v < xcp2361, v < xcp3070 | xcp2361, xcp3070 |
| fujitsu m10-4s_firmware | v < xcp2361, v < xcp3070 | xcp2361, xcp3070 |
| fujitsu m12-1_firmware | v < xcp2361, v < xcp3070 | xcp2361, xcp3070 |
| fujitsu m12-2_firmware | v < xcp2361, v < xcp3070 | xcp2361, xcp3070 |
| fujitsu m12-2s_firmware | v < xcp2361, v < xcp3070 | xcp2361, xcp3070 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.