PT-2021-6777 · Curl+6 · Curl+6
Publicado
2021-07-21
·
Atualizado
2026-05-18
·
CVE-2021-22922
CVSS v2.0
7.1
Alta
| Vetor | AV:N/AC:M/Au:N/C:N/I:C/A:N |
Nome do software vulnerável e versões afetadas
curl (versões afetadas não especificadas)
Descrição
O problema está relacionado ao recurso metalink do curl, que permite baixar conteúdo de vários URLs. Quando um servidor que hospeda o conteúdo é invadido e o arquivo é substituído por uma carga maliciosa, o curl deveria detectar a incompatibilidade de hash após a conclusão do download e remover o conteúdo. No entanto, isso não ocorre, e o conteúdo potencialmente malicioso é mantido no disco. O arquivo XML metalink fornece um hash para verificar o conteúdo, mas a incompatibilidade de hash é mencionada apenas no texto, e o usuário pode não perceber a mensagem.
Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
RCE
Improper Handling of Exceptional Conditions
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Centos
Debian
Red Hat
Rocky Linux
Suse
Curl