curl 8.11.1: витік пароля з netrc після HTTP-перенаправлення

Випущений 11 грудня 2024 року curl 8.11.1 усуває вразливість, через яку пароль із файлу .netrc міг бути переданий на інший хост під час HTTP-перенаправлення. Проблема виникає лише тоді, коли запис у .netrc збігається з цільовим хостом перенаправлення, але не містить пароля або логіна.

11 грудня 2024 року вийшов curl 8.11.1, який усуває вразливість CVE-2024-11053. Проблема виникала під час HTTP-перенаправлень: якщо curl перенаправлявся на інший хост, він міг помилково надіслати пароль із файлу .netrc, навіть якщо запис для цільового хоста був неповним (наприклад, містив лише логін або взагалі не мав облікових даних). Це створювало ризик витоку паролів на сторонні сервери.

Рекомендації:

• Оновіть curl до версії 8.11.1 або новішої на всіх робочих станціях та серверах.
• Перевірте файли .netrc на наявність застарілих або зайвих записів, які можуть бути використані в разі перенаправлень.
• Уникайте зберігання паролів у відкритому вигляді у файлах .netrc, якщо це можливо, віддаючи перевагу безпечнішим методам автентифікації, таким як змінні оточення або менеджери секретів.

Захист облікових даних від витоку через .netrc у curl

Вразливість CVE-2024-11053 у curl створює ризик витоку паролів із файлів .netrc під час HTTP-перенаправлень. Це загрожує безпеці облікових даних, які використовуються для автоматизації запитів, і може призвести до компрометації доступу до сторонніх сервісів, якщо конфігурація файлів не є оптимальною.

Практичний крок: Оновіть curl до версії 8.11.1 або новішої на всіх серверах. Зверніться до Softline для впровадження безпечніших методів автентифікації, таких як менеджери секретів, щоб відмовитися від зберігання паролів у відкритому вигляді у файлах .netrc.