PT-2024-6616 · Curl+6 · Curl+6
Daniel Stenberg
+1
·
Publicado
2024-09-11
·
Atualizado
2026-05-18
·
CVE-2024-8096
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas:
versões do curl anteriores à 8.10.0
Descrição:
O problema está relacionado à validação inadequada de certificados de servidor ao usar a extensão TLS Certificate Status Request, também conhecida como OCSP stapling. Se o status retornado relatar um erro diferente de “revogado”, como “não autorizado”, ele não é tratado como um certificado inválido. Isso poderia potencialmente permitir ataques man-in-the-middle devido à validação inadequada.
Recomendações:
Para versões do curl anteriores à 8.10.0, atualize para a versão 8.10.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere desativar o uso do OCSP stapling até que um patch esteja disponível. Restrinja o acesso a dados confidenciais e minimize o risco de exploração evitando o uso de versões vulneráveis do curl para operações críticas.
Exploit
Correção
Improper Certificate Validation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Astra Linux
Linuxmint
Red Os
Suse
Ubuntu
Curl