CVE-2023-23916
Açıklama
curl <v7.88.0 sürümünde, "zincirleme" HTTP sıkıştırma algoritmalarına dayalı olarak, kaynakların sınırsız veya kısıtlamasız tahsis edilmesi zafiyeti bulunmaktadır; bu durum, bir sunucu yanıtının birden fazla kez ve potansiyel olarak farklı algoritmalarla sıkıştırılabileceği anlamına gelir. Bu "sıkıştırmayı açma zinciri"ndeki kabul edilebilir "bağlantı" sayısı sınırlandırılmıştı, ancak bu sınır her başlık için ayrı ayrı uygulandığından, kötü niyetli bir sunucunun çok sayıda başlık kullanarak neredeyse sınırsız sayıda sıkıştırma adımı eklemesine izin verilmişti. Böyle bir sıkıştırmayı açma zincirinin kullanımı, curl'ün tahsis edilen yığın belleğinin muazzam miktarlarını harcamasına neden olan veya bunu deneyip bellek yetersizliği hataları döndüren bir "malloc bomb" ile sonuçlanabilir.
Nasıl düzeltilir
- haxx curl7.88.0 ya da sonraki bir sürüm
- splunk universal_forwarder8.2.12, 9.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| haxx curl | 7.57.0 ≤ v < 7.88.0 | 7.88.0 |
| fedoraproject fedora | 36 | — |
| debian debian_linux | 10.0, 11.0 | — |
| netapp h300s_firmware | Aralık belirtilmemiş | — |
| netapp h500s_firmware | Aralık belirtilmemiş | — |
| netapp h700s_firmware | Aralık belirtilmemiş | — |
| netapp h410s_firmware | Aralık belirtilmemiş | — |
| netapp clustered_data_ontap | Aralık belirtilmemiş | — |
| splunk universal_forwarder | 8.2.0 ≤ v < 8.2.12, 9.0.0 ≤ v < 9.0.6, 9.1.0 | 8.2.12, 9.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.