CVE-2025-13034
Açıklama
libcurl ile `CURLOPT_PINNEDPUBLICKEY` seçeneği veya curl aracı ile `--pinnedpubkey` kullanıldığında, curl karşı tarafı doğrulamak için sunucu sertifikasının genel anahtarını kontrol etmelidir. Bu kontrol, belirli bir koşulda atlanmaktaydı ve bu durum curl'ün uygun kontrolü gerçekleştirmeden bağlantıya izin vermesine, dolayısıyla olası bir taklitçiyi fark etmemesine neden oluyordu. Bu kontrolün atlanması için bağlantının, GnuTLS kullanacak şekilde derlenmiş ngtcp2 ile QUIC üzerinden yapılması ve kullanıcının standart sertifika doğrulamasını açıkça devre dışı bırakmış olması gerekiyordu.
Nasıl düzeltilir
- haxx curl8.18.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| haxx curl | 8.8.0 ≤ v < 8.18.0 | 8.18.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.