PT-2022-5975 · Libcurl+12 · Libcurl+12
Robbotic
·
Publicado
2022-10-26
·
Atualizado
2026-05-18
·
CVE-2022-32221
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões da libcurl anteriores à 7.86.0
Descrição
Ao realizar transferências HTTP(S), o libcurl pode usar erroneamente o callback de leitura (
CURLOPT READFUNCTION) para solicitar dados a serem enviados, mesmo quando a opção CURLOPT POSTFIELDS estiver definida, se o mesmo identificador tiver sido usado anteriormente para emitir uma solicitação PUT que utilizou esse callback. Essa falha pode surpreender o aplicativo e fazer com que ele se comporte de maneira incorreta, enviando dados errados ou utilizando memória já liberada (ou algo semelhante) na solicitação POST subsequente. O problema existe na lógica para um identificador reutilizado quando ele é alterado de PUT para POST.Recomendações
Atualize para a versão 7.86.0 ou posterior da libcurl para resolver o problema.
Como solução temporária, considere desativar o callback
CURLOPT READFUNCTION ao mudar de uma solicitação PUT para uma POST, a fim de minimizar o risco de exploração.Restrinja o acesso ao callback
CURLOPT READFUNCTION para impedir o uso não autorizado.Evite reutilizar identificadores para diferentes tipos de solicitações, a fim de evitar confusão entre solicitações
PUT e POST.Exploit
Correção
DoS
Information Disclosure
Exposure of Resource to Wrong Sphere
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Ibm Aix
Linuxmint
Apple Macos
Mysql Server
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu
Libcurl