PT-2022-2690 · Libcurl+6 · Libcurl+6
Florian Kohnhäuser
+1
·
Publicado
2022-04-30
·
Atualizado
2026-05-18
·
CVE-2022-27781
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
libcurl (versões afetadas não especificadas)
Descrição
O problema está relacionado à opção
CURLOPT CERTINFO na libcurl, que permite que aplicativos solicitem detalhes sobre a cadeia de certificados de um servidor. Devido a uma função defeituosa, um servidor malicioso poderia fazer com que a libcurl compilada com NSS ficasse presa em um loop infinito ao tentar recuperar essas informações. Isso poderia permitir que um invasor remoto causasse uma negação de serviço ao consumir todos os recursos disponíveis do sistema.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade. Como solução temporária, considere desativar a opção
CURLOPT CERTINFO para minimizar o risco de exploração. Restrinja o acesso à libcurl compilada com NSS para minimizar o risco de exploração. Evite usar a opção CURLOPT CERTINFO na libcurl até que o problema seja resolvido.Exploit
DoS
Infinite Loop
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Astra Linux
Linuxmint
Red Os
Suse
Ubuntu
Libcurl