28 травня 2025 року вийшов curl 8.14.0, у якому виправлено помилку перевірки закріпленого ключа сервера для HTTP/3 при використанні TLS-бекенду wolfSSL. Ця перевірка раніше не виконувалася для QUIC-з'єднань, хоча для HTTP/1 та HTTP/2 через TCP-з'єднання функціональність працювала коректно.
Випущений 28 травня 2025 року curl 8.14.0 усуває вразливість CVE-2025-5025. Помилка полягала у відсутності перевірки закріпленого публічного ключа сертифіката (certificate pinning) при використанні протоколу HTTP/3 через QUIC з бекендом wolfSSL. Важливо зазначити, що для стандартних TCP-з'єднань (HTTP/1 та HTTP/2) механізм перевірки працював коректно, тому вразливість була специфічною лише для нових протоколів.
Рекомендації:
- Оновіть
curlдо версії 8.14.0 або вище. - Якщо оновлення неможливе, тимчасово вимкніть підтримку HTTP/3 для сервісів, що використовують
wolfSSL. - Проведіть аудит конфігурацій, де використовується
certificate pinning, щоб переконатися, що перевірка активна для всіх типів з'єднань.
Усунення вразливості certificate pinning в HTTP/3
Відсутність перевірки закріпленого ключа в HTTP/3 з'єднаннях відкриває можливість для атак типу «людина посередині» (MitM). Для розробників та ІТ-інженерів це означає, що використання новітніх протоколів без належного оновлення бібліотек може нівелювати зусилля із захисту даних.
Практичний крок: Оновіть curl до версії 8.14.0. Якщо ви використовуєте HTTP/3 у своїх сервісах, зверніться до Softline для проведення аудиту конфігурацій безпеки та перевірки коректності реалізації механізмів certificate pinning у вашій інфраструктурі.
Використані джерела
- curl.se (curl.se)