Monnerat

**Name of the Vulnerable Software and Affected Versions** curl versions prior to 7.88.0 **Description** A cleartext transmission of sensitive information issue exists in curl that could cause HSTS functionality to behave incorrectly when multiple URLs are requested in parallel. Using its HSTS support, curl can be instructed to use HTTPS instead of using an insecure clear-text HTTP step even when HTTP is provided in the URL. However, this HSTS mechanism fails when multiple transfers are done in parallel as the HSTS cache file gets overwritten by the most recently completed transfer. A later HTTP-only transfer to the earlier host name would then not get upgraded properly to HSTS. **Recommendations** For versions prior to 7.88.0, update to version 7.88.0 or later to resolve the issue. As a temporary workaround, consider avoiding the use of the `--parallel` option with HSTS-enabled transfers until a patch is available. Restrict access to sensitive information and avoid using HTTP-only transfers to minimize the risk of exploitation.

**Nome do software vulnerável e versões afetadas** Versões do curl de 7.33.0 a 7.82.0 **Descrição** Existe um problema de autenticação inadequada, que pode permitir a reutilização de conexões autenticadas por OAUTH2 sem garantir que a conexão tenha sido autenticada com as mesmas credenciais definidas para a transferência. Isso afeta os protocolos habilitados para SASL: SMPTP(S), IMAP(S), POP3(S) e LDAP(S) (apenas openldap). O problema está relacionado à forma como a libcurl mantém um conjunto de conexões ativas após a conclusão de uma transferência, o que pode levar a uma burla na autenticação se uma conexão for reutilizada com credenciais diferentes. **Recomendações** Para as versões 7.33.0 a 7.82.0 do curl, considere desativar a reutilização de conexões autenticadas por OAUTH2 como uma solução temporária até que um patch esteja disponível. Restrinja o acesso a protocolos habilitados para SASL para minimizar o risco de exploração. Evite reutilizar conexões autenticadas com portadores OAUTH2 para usuários ou credenciais diferentes. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.