Os mantenedores do projeto de transferência de dados cURL lançaram na quarta-feira patches para uma grave vulnerabilidade de corrupção de memória que expõe milhões de sistemas operacionais, aplicativos e dispositivos corporativos a ataques de hackers maliciosos.
De acordo com um boletim de alto risco, a falha representa uma ameaça direta ao processo de handshake do proxy SOCKS5 no cURL e pode ser explorada remotamente em algumas configurações não padrão.
O bug, rastreado como CVE-2023-38545, existe na biblioteca libcurl que lida com a troca de dados entre dispositivos e servidores.
De consultivo:
“Quando o curl é solicitado a passar o nome do host para o proxy SOCKS5 para permitir que isso resolva o endereço em vez de ser feito pelo próprio curl, o comprimento máximo que o nome do host pode ter é de 255 bytes.
Se for detectado que o nome do host tem mais de 255 bytes, o curl alterna para a resolução de nome local e, em vez disso, passa o endereço resolvido apenas para o proxy. Devido a um bug, a variável local que significa “deixe o host resolver o nome” pode obter o valor errado durante um handshake SOCKS5 lento e, ao contrário da intenção, copiar o nome do host muito longo para o buffer de destino em vez de copiar apenas o resolvido endereço lá.”
Desenvolvedor sueco de código aberto e mantenedor curl Daniel Stenberg que o bug foi introduzido em fevereiro de 2020 durante o trabalho de codificação relacionado no suporte SOCKS5 do cURL.
“Um invasor que controla um servidor HTTPS que um libcurl usando cliente acessa por meio de um proxy SOCKS5 (usando o modo proxy-resolver) pode fazer com que ele retorne um redirecionamento criado para o aplicativo por meio de uma resposta HTTP 30x”, explicou Stenberg, alertando que em certas condições, um estouro de buffer de heap é acionado.
“Este problema é o pior problema de segurança encontrado em [libcurl] em muito tempo”, disse Stenberg. O problema foi relatado através do Plataforma HackerOne de Jay Satiro e pagou US$ 4.600, a maior recompensa por bug cURL até o momento.
As versões afetadas foram sinalizadas como libcurl versões 7.69.0 a 8.3.0. O projeto disse que o problema foi corrigido no cURL 8.4.0.
cURL fornece uma biblioteca (libcurl) e uma ferramenta de linha de comando (curl) para transferência de dados com sintaxe de URL, suportando vários protocolos de rede, incluindo SSL, TLS, HTTP, FTP, SMTP, entre outros.
No início desta semana, o cURL lançou um comunicado pré-patch instando as organizações a inventariarem e verificarem urgentemente todos os sistemas que utilizam curl e libcurl e se prepararem para aplicar os patches no cURL 8.4.0.
De acordo com os mantenedores do curl, a vulnerabilidade afeta potencialmente todos os projetos que dependem do libcurl, embora alguns softwares possam usá-lo de uma forma que não permite a exploração. “Atualizar a biblioteca compartilhada libcurl deve ser suficiente para corrigir esse problema em todos os sistemas operacionais.”