Katalog podatności CVE

Wiele wykorzystywalnych przepełnień bufora na stosie w funkcji boa formFilter urządzenia X2000R (TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327), dotyczących parametru vpnUser. Specjalnie spreparowane żądanie HTTP może prowadzić do wykonania dowolnego kodu; wymagane jest uwierzytelnienie.

libcurl może przypadkowo zwrócić URL dla opcji CURLINFO_EFFECTIVE_URL funkcji curl_easy_getinfo() zawierający dane uwierzytelniające, mimo że ani URL przekazany do libcurl, ani URL przekierowania ich nie zawierały.

Podczas przetwarzania przekierowania HTTP do adresu URL zawierającego komponent userinfo (username:password) curl może błędnie zachować i ponownie przesłać stan uwierzytelniania HTTP Negotiate oryginalnego hosta. W efekcie złośliwy serwer może wymusić na curl wysłanie świeżo wygenerowanego biletu Kerberos do niezaufanego hosta trzeciego, omijając ograniczenia zakresu domeny normalnie wymuszane przez brak opcji --location-trusted.

Głęboko zagnieżdżona struktura MIME multipart zbudowana przez publiczne API powoduje przepełnienie stosu w libcurl podczas normalnych operacji sprzątania. Nadmierna głębokość rekurencji w curl_mime_free prowadzi do nieograniczonej alokacji ramek stosu podczas przechodzenia struktury, co ostatecznie powoduje awarię procesu hosta.

Przy użyciu opcji --remote-header-name (-J) curl nie zachowuje udokumentowanej ochrony przed nadpisaniem pliku, jeśli pośrednia odpowiedź 103 Early Hints poprzedza końcową odpowiedź HTTP lub jeśli nagłówek ETag jest przetwarzany przed Content-Disposition w trybie --etag-save. Wada pozwala serwerowi HTTP(S) nadpisać istniejący plik lokalny wskazany w nagłówku Content-Disposition mimo ograniczenia -J.

Maszyna stanów TFTP w libcurl nie weryfikuje przejść stanów względem żądanego kierunku transferu, akceptując odpowiedzi otwierające serwera zarówno dla odczytu, jak i zapisu zamiennie. Złośliwy serwer TFTP może odpowiedzieć na żądanie pobrania w sposób wymuszający tryb transmisji, powodując że libcurl odczyta i wyśle dane ze wskaźnika CURLOPT_READDATA uchwytu, w tym dane pozostałe z wcześniejszych operacji, takich jak żądanie HTTP POST na ponownie użytym uchwycie.

Gdy operacja wieloznacznego LIST przez FTP kończy się niepowodzeniem, libcurl pomija ścieżkę przywracania przeznaczoną dla udanych listowań, pozostawiając callback zapisu ustawiony na wewnętrzny parser listowania, a dane callbacku zapisu wskazujące bezpośrednio na uchwyt easy. Ponowne użycie tego uchwytu powoduje natychmiastową awarię, a sklonowanie go przez curl_easy_duphandle() kopiuje uszkodzony stan; zwolnienie oryginału i transfer na klonie powoduje use-after-free, a zmiana tylko CURLOPT_WRITEDATA prowadzi do type confusion.

Poprzez trwałe pominięcie końcowej linii odpowiedzi kontrolnej złośliwy serwer FTP, IMAP, POP3 lub SMTP może wykorzystać libcurl i całkowicie obejść skonfigurowany mechanizm limitu czasu transferu, blokując w nieskończoność wszystkie równoległe transfery powiązane z tym samym multi-handle.

Podczas zapisu długiej nazwy i wartości cookie do pliku cookie jar w formacie Netscape zdalny serwer HTTP może spowodować, że curl zapisze rekord przekraczający limit długości linii parsera. W konsekwencji każde kolejne wywołanie curl czytające z tego samego pliku cookie jar przez --cookie po cichu przerywa parsowanie na zbyt długiej linii, ignorując wszystkie kolejne prawidłowe cookies w pliku.

Przy kompilacji z wolfSSL curl może pomyślnie zweryfikować hash przypiętego klucza publicznego względem klucza, którego peer TLS nie posiada. Podczas uzgadniania TLS wolfSSL weryfikuje połączenie, ale późniejsze ponowne parsowanie tego samego certyfikatu przez curl — oszukane przez zmanipulowane pole długości ważności — wyodrębnia i dopasowuje inny osadzony klucz, niepoprawnie autoryzując przypięty klucz publiczny.

Gdy libcurl używa libssh2 z plikiem known_hosts w formacie hashowanym, niepowiązany początkowy wpis może spowodować, że walidacja klucza hosta zgłosi niezgodność klucza jako brakujący klucz do callbacku CURLOPT_SSH_KEYFUNCTION.

Włączenie CURLOPT_CRLF powoduje, że curl ogłasza w literale IMAP APPEND {N} surową liczbę bajtów wejściowych, podczas gdy przesyła dane z rozszerzonymi końcami linii. Serwer odczytuje tylko N bajtów ładunku, powodując że pozostałe nadmiarowe bajty są interpretowane i wykonywane jako wstrzyknięte polecenia IMAP w uwierzytelnionej sesji.

Złośliwe lub błędne źródło HTTPS może podać wartość HSTS max-age, którą parser akceptuje, ale której serializacja czasu później nie przetwarza. Na systemach 64-bitowych skrajne wartości max-age powodują przekroczenie granic struktur czasu kalendarzowego. Podczas zapisu cache plik HSTS jest obcinany przed zapisem pliku tymczasowego, a błąd serializacji jest po cichu ignorowany, co prowadzi do utraty danych przy jednoczesnym pomyślnym zakończeniu curl.

Importowanie wpisu HSTS nadrzędnego z includeSubDomains przed wpisem podrzędnym o dłuższym czasie ważności powoduje ciche odrzucenie wpisu podrzędnego. Gdy wpis nadrzędny wygaśnie, ważna polityka HSTS podrzędna zostaje utracona, a curl wykonuje niezaszyfrowane żądania HTTP zamiast aktualizacji do HTTPS.

Przy użyciu poświadczeń użytkownika w tle żądanie HTTP skierowane do jednego originu może zostać wysłane przez połączenie wcześniej uwierzytelnione przez Negotiate dla innego originu. W rezultacie zamierzone poświadczenia żądania pozostają nieużyte.

Funkcja dopasowania cache połączeń libcurl nie uwzględnia opcji automatycznego certyfikatu klienta, więc uwierzytelnione połączenie Schannel z cache może zostać przekazane transferowi przekierowanemu do innego originu. Dzieje się tak mimo jawnego wyłączenia opcji automatycznego certyfikatu klienta dla tego transferu.

Złośliwy serwer proxy HTTP może nakłonić libcurl do wysłania poświadczeń originu (hasła Basic lub biletu Negotiate/Kerberos) do samego proxy. Osiąga to, odpowiadając na żądanie tunelu CONNECT kodem 401 z nagłówkiem WWW-Authenticate zamiast oczekiwanego 407 Proxy-Authenticate.

W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formIpv6Setup występuje przepełnienie bufora na stosie w parametrze dhcp_dns2. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.

W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formIpv6Setup występuje przepełnienie bufora na stosie w parametrze dhcp_dns1. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.

W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formIpv6Setup konfiguracji sieci statycznej występuje przepełnienie bufora na stosie w parametrze static_gw. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.