CVE-2023-27535
Açıklama
libcurl <8.0.0 sürümündeki FTP bağlantı yeniden kullanımı özelliğinde, sonraki aktarımlar sırasında yanlış kimlik bilgilerinin kullanılmasına neden olabilecek bir kimlik doğrulama atlatma zafiyeti bulunmaktadır. Daha önce oluşturulan bağlantılar, mevcut yapılandırmayla eşleşmeleri durumunda yeniden kullanılmak üzere bir bağlantı havuzunda tutulur. Ancak, CURLOPT_FTP_ACCOUNT, CURLOPT_FTP_ALTERNATIVE_TO_USER, CURLOPT_FTP_SSL_CCC ve CURLOPT_USE_SSL gibi belirli FTP ayarları yapılandırma eşleştirme kontrollerine dahil edilmemiştir ve bu durum onların çok kolay eşleşmesine yol açmıştır. Bu durum, libcurl'ün bir aktarım gerçekleştirirken yanlış kimlik bilgilerini kullanmasına neden olarak hassas bilgilere yetkisiz erişime imkan tanıyabilir.
Nasıl düzeltilir
- splunk universal_forwarder8.2.12, 9.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| haxx libcurl | 7.13.0 ≤ v ≤ 7.88.1 | — |
| fedoraproject fedora | 36 | — |
| debian debian_linux | 10.0 | — |
| netapp active_iq_unified_manager | Aralık belirtilmemiş | — |
| netapp ontap_9 | Aralık belirtilmemiş | — |
| netapp h300s_firmware | Aralık belirtilmemiş | — |
| netapp h500s_firmware | Aralık belirtilmemiş | — |
| netapp h700s_firmware | Aralık belirtilmemiş | — |
| netapp h410s_firmware | Aralık belirtilmemiş | — |
| splunk universal_forwarder | 8.2.0 ≤ v < 8.2.12, 9.0.0 ≤ v < 9.0.6, 9.1.0 | 8.2.12, 9.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.