PT-2024-1741 · Tiny-Curl+2 · Tiny-Curl+2

CVE-2023-52071 · Publicado 2024-01-30 · Atualizado 2024-02-26

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.0

Média

Vetor base

AV:N/AC:L/Au:N/C:P/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do curl 8.4.0 a 8.5.0

Versão 8.4.0 do tiny-curl

Descrição

O problema está relacionado a um índice de matriz fora dos limites (off-by-one) no componente tool cb wrt dos utilitários curl e tiny-curl. Isso poderia permitir que um invasor remoto divulgasse informações protegidas. Há relatos de aumento nas atividades de agentes mal-intencionados visando essa vulnerabilidade.

Recomendações

Para as versões 8.4.0 a 8.5.0 do curl, atualize para uma versão que contenha uma correção para esta vulnerabilidade.

Para a versão 8.4.0 do tiny-curl, atualize para uma versão que contenha uma correção para esta vulnerabilidade.

Como solução temporária, considere restringir o acesso ao componente tool cb wrt até que um patch esteja disponível.

Correção

Improper Validation of Array Index

Buffer Overflow

Enumeração de Fraquezas

CWE-129

CWE-119

Identificadores relacionados

ALT-PU-2024-2266

BDU:2024-01449

CVE-2023-52071

Produtos afetados

Alt Linux

Curl

Tiny-Curl

Referências · 10

• https://github.com/curl/curl/commit/af3f4e41#r127212213 · Nota
• https://github.com/curl/curl/commit/73980f9ace6c7577e7fcab8008bbde8a0a231692 · Nota
• https://twitter.com/VulmonFeeds/status/1752299159036506291 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2023-52071 · Aviso do Fabricante
• https://twitter.com/NUYTSTECH/status/1762289971191521514 · Publicação no Twitter
• https://twitter.com/vuldb/status/1752434525806940550 · Publicação no Twitter
• https://t.me/cvenotify/69183 · Publicação no Telegram
• https://curl.se/docs/CVE-2023-52071.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-52071 · Nota de Segurança
• https://bdu.fstec.ru/vul/2024-01449 · Nota de Segurança