11 травня 2022 року вийшов реліз libcurl 7.83.1, який виправляє помилку повторного використання з’єднань, що виникала навіть після зміни налаштувань TLS або SSH.
Версія libcurl 7.83.1, випущена 11 травня 2022 року, містить виправлення вразливості CVE-2022-27782. Помилка полягала в тому, що бібліотека могла повторно використовувати існуючі з'єднання навіть у випадках, коли параметри TLS або SSH були змінені, що мало б автоматично забороняти таку дію. Це створювало потенційну можливість витоку даних між сесіями з різними рівнями доступу або конфігураціями безпеки.
Рекомендації:
- Перевірте версію libcurl у вашому середовищі.
- Оновіть бібліотеку до версії 7.83.1 або новішої, якщо ви використовуєте застарілі версії.
- Проведіть аудит конфігурацій TLS/SSH для переконання, що параметри з'єднань коректно обробляються застосунками.
Виправлення вразливості TLS/SSH у libcurl 7.83.1
Для розробників та системних адміністраторів некоректна обробка TLS/SSH з'єднань у бібліотеці libcurl створює ризик витоку конфіденційних даних між сесіями. Якщо ваші застосунки використовують застарілі версії бібліотеки, існує ймовірність несанкціонованого доступу до інформації через помилки в управлінні з'єднаннями. Це вимагає перегляду конфігурацій безпеки та оновлення програмного забезпечення для запобігання компрометації даних.
Практичний крок: Перевірте версії libcurl у ваших середовищах та оновіть їх до актуальних. Зверніться до Softline для проведення аудиту безпеки вашої ІТ-інфраструктури, щоб виявити та усунути вразливості у налаштуваннях мережевих з'єднань.
Використані джерела
- curl.se (curl.se)