Vulnerabilidad en libreria Libcurl/Curl
Los desarrolladores del proyecto de transferencia de datos cURL están trabajando para corregir dos vulnerabilidades en el software, incluido un error de alta criticidad que afecta tanto a libcurl como a curl.
cURL proporciona una biblioteca (libcurl) y una herramienta de línea de comandos (curl) para transferir datos con sintaxis de URL y admite varios protocolos de red, incluidos SSL, TLS, HTTP, FTP, SMTP y más.
Las vulnerabilidades son conocidas como CVE-2023-38545 y CVE-2023-38546, y sus responsables advierten que la primera tiene una calificación de "alta gravedad" y podría considerarse una de las fallas más graves en la herramienta de código abierto.
“Estamos acortando el ciclo de lanzamiento y lanzaremos curl 8.4.0 el 11 de octubre, incluidas correcciones para un CVE de gravedad ALTA y uno de gravedad BAJA. El que tiene una calificación ALTA es probablemente el peor fallo de seguridad de rizos en mucho tiempo”, señalan los encargados del mantenimiento en un aviso.
Los detalles sobre la vulnerabilidad en sí y sobre las versiones de curl afectadas aún no se han revelado, pero los responsables dicen que todas las iteraciones lanzadas durante los "últimos años" son vulnerables.
El aviso se publicó antes de los parches para advertir a las organizaciones sobre la gravedad del error, de modo que puedan prepararse para las próximas actualizaciones.
También se notificaron las distribuciones de los miembros, para que puedan preparar parches.
"Nadie más obtiene detalles sobre estos problemas antes del 11 de octubre sin un contrato de soporte y una buena razón", dicen los desarrolladores de curl.
Recomendaciones
Debido a que la mayoría de sistemas operativos hacen uso de cURL, es de suma importancia aprovechar el tiempo de gracia que los desarrolladores están otorgando para identificar los activos que tienen una versión vulnerable de esta utilería/librería.
Llegado el 11 de octubre, la vulnerabilidad se dará a conocer y no tomará mucho tiempo para que la comunidad construya un exploit que explote las vulnerabilidades reflejadas en este documento.
Referencias
- https://www.securityweek.com/patches-prepared-for-probably-worst-curl-vulnerability/
- https://www.rezilion.com/blog/cve-2023-38545-a-high-severity-curl-and-libcurl-cve-to-be-published-onoctober-11th/
- https://github.com/curl/curl/discussions/12026
.jpg)
