CVE-2023-28321
Açıklama
curl <v8.1.0 sürümünde, TLS sunucu sertifikalarında "Subject Alternative Name" olarak listelendiğinde joker karakter desenlerinin eşleştirilmesini destekleme biçiminde hatalı bir sertifika doğrulama zafiyeti bulunmaktadır. curl, TLS için bir TLS kitaplığı tarafından sağlanan fonksiyon yerine kendi isim eşleştirme fonksiyonunu kullanacak şekilde derlenebilir. Bu özel joker karakter eşleştirme fonksiyonu, IDN (Uluslararası Alan Adı) ana bilgisayarlarını yanlış eşleştirebilir ve sonuç olarak normalde uyuşmaması gereken desenleri kabul edebilir. IDN ana bilgisayar adları, sertifika kontrolleri için kullanılmadan önce punycode'a dönüştürülür. Punycode ile kodlanmış adlar her zaman `xn--` ile başlar ve desen eşleştirmesine izin verilmemelidir; ancak curl'deki joker karakter kontrolü hala `x*` kontrolü yapabilir ve bu durum, IDN adı büyük olasılıkla `x` harfine benzeyen hiçbir şey içermese bile eşleşmeye neden olabilir.
Nasıl düzeltilir
- haxx curl8.1.0 ya da sonraki bir sürüm
- apple macos11.7.9, 12.6.8, 13.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| haxx curl | v < 8.1.0 | 8.1.0 |
| debian debian_linux | 10.0 | — |
| fedoraproject fedora | 37, 38 | — |
| netapp clustered_data_ontap | Aralık belirtilmemiş | — |
| netapp ontap_antivirus_connector | Aralık belirtilmemiş | — |
| netapp h300s_firmware | Aralık belirtilmemiş | — |
| netapp h500s_firmware | Aralık belirtilmemiş | — |
| netapp h700s_firmware | Aralık belirtilmemiş | — |
| netapp h410s_firmware | Aralık belirtilmemiş | — |
| apple macos | 11.0 ≤ v < 11.7.9, 12.0 ≤ v < 12.6.8, 13.0 ≤ v < 13.5 | 11.7.9, 12.6.8, 13.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.