Podatności libcurl

Podczas transferów SSH (SCP lub SFTP) z ustawionym plikiem known_hosts, libcurl mógł błędnie zaakceptować połączenia z hostami *nieobecnymi* w określonym pliku, jeśli były one rozpoznane w globalnym pliku known_hosts biblioteki libssh.

Podczas transferów TLS z ponownie używanymi uchwytami easy lub multi oraz zmianą opcji CURLSSLOPT_NO_PARTIALCHAIN, libcurl mógł przypadkowo użyć zapisanego w pamięci magazynu certyfikatów CA, dla którego opcja partial chain była odwrócona. Wbrew oczekiwaniom użytkownika, libcurl mógł znaleźć i zaakceptować łańcuch zaufania, którego w przeciwnym razie by nie zaakceptował.

Podczas wielowątkowych transferów LDAPS (LDAP przez TLS) z libcurl zmiana opcji TLS w jednym wątku nieumyślnie zmieniała je globalnie, co mogło wpływać na inne równocześnie konfigurowane transfery. Wyłączenie weryfikacji certyfikatu dla konkretnego transferu mogło przypadkowo wyłączyć tę funkcję również dla innych wątków.

libcurl zbudowany z mbedTLS nie sprawdzał certyfikatu serwera dla połączeń TLS do hosta podanego jako adres IP. Funkcja ustawiania nazwy hosta była pomijana, co całkowicie pomijało weryfikację certyfikatu dla protokołów HTTPS, FTPS, IMAPS, POPS3, SMTPS itp.

W libcurl przed wersją 8.0.0 występuje luka pozwalająca na obejście uwierzytelniania polegająca na ponownym użyciu wcześniej ustanowionego połączenia SSH mimo zmiany opcji SSH, która powinna uniemożliwić ponowne użycie. Dwie opcje SSH zostały pominięte w sprawdzaniu konfiguracji, co umożliwia ich łatwe dopasowanie i potencjalne ponowne użycie nieodpowiedniego połączenia.

W libcurl w wersjach przed 8.0.0 występuje luka double free podczas współdzielenia danych HSTS między oddzielnymi "handle'ami". Współdzielenie to zostało wprowadzone bez uwzględnienia wątków, a dokumentacja nie zawierała ostrzeżenia. Z powodu braku muteksów lub blokad wątków dwa wątki współdzielące te same dane HSTS mogą doprowadzić do double-free lub use-after-free.

W libcurl przed wersją 8.0.0 występuje obejście uwierzytelniania w funkcji ponownego użycia połączeń. Brak sprawdzania zmian opcji CURLOPT_GSSAPI_DELEGATION powoduje ponowne użycie połączeń z nieprawidłowymi uprawnieniami użytkownika w transferach krb5/kerberos/negotiate/GSSAPI.

W libcurl przed wersją 8.0.0 występuje obejście uwierzytelniania w funkcji ponownego użycia połączeń FTP. Niektóre ustawienia FTP (CURLOPT_FTP_ACCOUNT, CURLOPT_FTP_ALTERNATIVE_TO_USER, CURLOPT_FTP_SSL_CCC, CURLOPT_USE_SSL) nie były uwzględniane przy dopasowywaniu połączeń, co mogło prowadzić do użycia niewłaściwych poświadczeń.

W bibliotece libcurl występuje problem z ponownym używaniem wcześniej utworzonych połączeń, nawet gdy zmieniono opcje związane z TLS lub SSH, które powinny zabraniać ponownego użycia. Niektóre ustawienia TLS i SSH nie były uwzględnione w sprawdzaniu zgodności konfiguracji, co ułatwiało dopasowanie.

libcurl oferuje opcję `CURLOPT_CERTINFO`, która pozwala aplikacjom na żądanie szczegółów dotyczących łańcucha certyfikatów serwera. Z powodu błędnej funkcji, złośliwy serwer może spowodować, że libcurl zbudowany z NSS utknie w nieskończonej pętli podczas próby pobrania tych informacji.

libcurl nieprawidłowo zezwala na ustawianie ciasteczek dla domen najwyższego poziomu (TLD), gdy nazwa hosta jest podana z kropką na końcu. Wbudowany mechanizm sprawdzania poprawności ciasteczek zawodzi w takim przypadku, gdy nie jest dostępna obsługa Public Suffix List. W efekcie dowolna witryna może ustawić ciasteczka, które następnie zostaną wysłane do innej, niepowiązanej witryny lub domeny.