Baş geliştirici Daniel Stenberg yükseltilmiş bir sürümünü yayınladı Son günlerde siber güvenlik sektörünün çoğunu gergin hale getiren yüksek ciddiliğe sahip bir açık kaynak güvenlik açığını ele alan Curl Çarşamba günü.
curl 8.4.0’ın yayımlanması, CVE-2023-38545 olarak listelenen ve SOCKS5 proxy anlaşmasında yığın tabanlı arabellek taşmasına neden olmak için kullanılabilen bir güvenlik açığını giderir.
SOCKS5, ağ iletişimini bir “orta adam” aracılığıyla kurmaya yönelik bir protokoldür. Stenberg bir blog yazısında şunları söyledi:.
Stenberg daha önce bu güvenlik açığının Curl’de uzun zamandır görülen en kötü güvenlik sorunu olduğu konusunda uyardı ve yükseltmenin yayınlanmasını hızlandırmak için baskı yaptı.
Güvenlik araştırmacıları sürümü yakından izliyor, hatta bazıları potansiyel güvenlik sonuçlarını Log4j’ninkiyle karşılaştırıyor.
Endor Labs güvenlik araştırmacısı Henrik Plate, “Birçok ticari yazılım satıcısı yamaları ve güvenlik güncellemelerini sabit bir programa göre yayınlarken, açık kaynaklı yazılımlar için bu nispeten alışılmadık bir uygulamadır ve bu da curl/libcurl için yakında yayınlanacak tavsiyelerin öneminin altını çizer” dedi. Salı günü yaptığı açıklamada şunları söyledi.
Plate’e göre, ilk olarak 1997 yılında piyasaya sürülen Curl, çeşitli protokoller kullanılarak dosya aktarımında yaygın olarak kullanılan bir araçtır. Plate, Curl’ün Unix benzeri terminallerde dosya aktarımı için kullanılan iki yarı standart komut satırı aracından biri olduğunu söyledi.
Synopsis’in kıdemli yazılım çözümleri yöneticisi Mike McGuire’a göre curl aracı, normalde güvenlik açığına karşı koruma sağlayan varsayılan davranışı içeriyor. Ancak McGuire, bu korumaların libcurl’un 7.69.0’dan 8.3.0’a kadar olan sürümlerinde yer almadığını söyledi.
McGuire, yeni sürüm 8.4.0’ın, bir ana bilgisayar adı 255 baytı aştığında bir hata mesajı döndürerek sorunu çözdüğünü söyledi; bu, “güvenlik açığı bulunan sürümlerde kritik arabellek taşmasına yol açan koşullardan biridir.”