CVE-2022-42915
Açıklama
7.86.0 öncesindeki curl sürümünde bir double free hatası bulunmaktadır. Eğer curl'e, HTTP(S) olmayan bir URL ile yapılan aktarım için bir HTTP proxy kullanması söylenirse, proxy'ye bir CONNECT isteği göndererek uzak sunucuya bağlantıyı kurar ve ardından protokolün geri kalanını tüneller. Bir HTTP proxy bu isteği reddedebilir (HTTP proxyler genellikle yalnızca HTTPS için 443 gibi belirli port numaralarına giden bağlantılara izin verir) ve bunun yerine istemciye 200 dışı bir durum kodu döndürebilir. Hata/temizlik işlemlerindeki kusurlar nedeniyle, aktarım için kullanılan URL'de şu şemalardan biri yer alıyorsa curl'de bir double free tetiklenebilir: dict, gopher, gophers, ldap, ldaps, rtmp, rtmps veya telnet. Etkilenen ilk sürüm 7.77.0'dır.
Nasıl düzeltilir
- haxx curl7.86.0 ya da sonraki bir sürüm
- apple macos12.6.3, 13.2 ya da sonraki bir sürüm
- splunk universal_forwarder8.2.12, 9.0.6 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HVU3IMZCKR4VE6KJ4GCWRL2ILLC6OV76/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Q27V5YYMXUVI6PRZQVECON32XPVWTKDK/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/37YEVVC6NAF6H7UHH6YAUY5QEVY6LIH2/
- security.gentoo.org/glsa/202212-01
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| haxx curl | 7.77.0 ≤ v < 7.86.0 | 7.86.0 |
| fedoraproject fedora | 35, 36, 37 | — |
| netapp h300s_firmware | Aralık belirtilmemiş | — |
| netapp h500s_firmware | Aralık belirtilmemiş | — |
| netapp h700s_firmware | Aralık belirtilmemiş | — |
| netapp h410s_firmware | Aralık belirtilmemiş | — |
| netapp ontap_9 | Aralık belirtilmemiş | — |
| apple macos | 12.0.0 ≤ v < 12.6.3, 13.0 ≤ v < 13.2 | 12.6.3, 13.2 |
| splunk universal_forwarder | 8.2.0 ≤ v < 8.2.12, 9.0.0 ≤ v < 9.0.6, 9.1.0 | 8.2.12, 9.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.