Popüler veri aktarım aracı Curl’de, potansiyel olarak saldırganların hassas bilgilere erişmesine olanak tanıyan kritik bir güvenlik açığı keşfedildi.
CVE-2024-11053 olarak tanımlanan güvenlik açığı, Curl’ün 6.5 ile 8.11.0 arasındaki sürümlerini etkiliyor ve parolaların yetkisiz tarafların eline geçmesine yol açabiliyor.
Güvenlik sorunu, curl’un kimlik bilgileri için hem .netrc dosyasını kullanacak hem de HTTP yönlendirmelerini izleyecek şekilde yapılandırılması durumunda ortaya çıkar. Belirli koşullar altında curl, ilk ana bilgisayar için kullanılan parolayı yeniden yönlendirilen ana bilgisayara sızdırabilir. Bu güvenlik açığı şu durumlarda ortaya çıkar:
- .netrc dosyası, yönlendirme hedefi ana bilgisayar adıyla eşleşen bir giriş içeriyor
- Girişte ya şifre atlanıyor ya da hem kullanıcı adı hem de şifre
Örneğin, a.tld’ye yapılan bir curl aktarımı b.tld’ye yönlendiriyorsa ve .netrc dosyasında parola olmadan b.tld için bir giriş varsa, curl yanlışlıkla parolayı a.tld’den b.tld’ye aktarır.
API güvenlik açığı ve Sızma Testi için En İyi Uygulamalar Konulu Ücretsiz Web Semineri: Ücretsiz Kayıt
Curl projesi bu güvenlik açığını CWE-200: Hassas Bilgilerin Yetkisiz Bir Aktöre İfşa Edilmesi olarak sınıflandırmıştır.
Kimlik bilgisi sızıntısı potansiyeline rağmen kusurun ciddiyeti Düşük olarak derecelendirilmiştir. Güvenlik açığı yalnızca libcurl kitaplığını değil aynı zamanda çeşitli uygulamalarda yaygın olarak kullanılan curl komut satırı aracını da etkiliyor.
Çözüm ve Öneriler
Curl projesi, bu güvenlik sorununu gideren 8.11.1 sürümünü 11 Aralık 2024’te yayınladı. Kullanıcıların aşağıdaki eylemlerden birini gerçekleştirmeleri önemle tavsiye edilir:
- curl ve libcurl’u 8.11.1 sürümüne yükseltin (en çok tercih edilir)
- Yamayı mevcut sürüme uygulayın ve yeniden oluşturun
- .netrc dosyalarını yönlendirmelerle birlikte kullanmaktan kaçının
Güvenlik açığı, 8 Kasım 2024’te curl projesine bildirildi. Curling ekibi, geliştirmeyi kapsamlı bir şekilde araştırıp düzelttikten sonra 3 Aralık 2024’te distros@openwall ile iletişime geçti.
Curl 8.11.1’in resmi sürümü, bu güvenlik danışma belgesiyle birlikte 11 Aralık 2024’te, yaklaşık 06:00 UTC’de koordine edildi.
Kullanıcıların ve yöneticilerin bu güvenlik açığını azaltmak için curl yapılandırmalarını gözden geçirmeleri ve en son sürüme güncellemeleri gerekir.
ANY.RUN ile Gerçek Dünyadaki Kötü Amaçlı Bağlantıları, Kötü Amaçlı Yazılımları ve Kimlik Avı Saldırılarını Araştırın – Ücretsiz Deneyin