ГлавнаяБаза уязвимостей БДУ → BDU:2023-06576
7.6высокая

BDU:2023-06576 (CVE-2023-38545)

Уязвимость реализации протокола SOCKS5 утилиты командной строки cURL, позволяющая нарушителю вызвать отказ в обслуживании или выполнить произвольный код
Опубликовано: 2023-10-11
Описание

Уязвимость реализации протокола SOCKS5 утилиты командной строки cURL связана с выходом операции за границы буфера в памяти при обработке длины имени хоста. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании или выполнить произвольный код

Затрагиваемое ПО и версии
Debian GNU/Linux (10)Debian GNU/Linux (11)Debian GNU/Linux (12)РЕД ОС (7.3)Альт 8 СПRed Hat Enterprise Linux (9)UBLinux (до 2204)Red Hat Enterprise Linux (9.0 Extended Update Support)Red Hat JBoss Core ServicesРОСА ХРОМ (12.4)cURL (от 7.69.0 до 8.3.0 включительно)АЛЬТ СП 10ОСОН ОСнова Оnyx (до 2.9)harbor (2.7.0)ОС Аврора (до 5.1.1 включительно)
Способ устранения

Компенсирующие меры:
1. Не используйте параметр CURLPROXY_SOCKS5_HOSTNAME для передачи имени хоста в CURLOPT_PROXYTYPE;
2. Не используйте socks5h:// для переменной среды прокси-сервера

Использование рекомендаций:
Для cURL:
https://github.com/curl/curl/commit/fb4415d8aee6c1
https://curl.se/docs/CVE-2023-38545.html
https://github.com/curl/curl/commit/fb4415d8aee6c1045be932a34fe6107c2f5ed147

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2023-38545

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-38545

Для UBLinux:
https://security.ublinux.ru/CVE-2023-38545

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/



Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения curl до версии 7.88.1-10+deb12u4osnova1

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для операционной системы РОСА ХРОМ:https://abf.rosalinux.ru/advisories/ROSA-SA-2024-2379

Для ОС Аврора:
https://cve.omp.ru/bb25402

Оценка CVSS
Балл7.6 — высокая опасность
Источники и патчи
https://github.com/curl/curl/discussions/12026https://www.securitylab.ru/news/542544.phphttps://curl.se/docs/CVE-2023-38545.htmlhttps://access.redhat.com/security/cve/cve-2023-38545https://jfrog.com/blog/curl-libcurl-october-2023-vulns-all-you-need-to-know/https://security-tracker.debian.org/tracker/CVE-2023-38545https://hackerone.com/reports/2187833https://bugzilla.redhat.com/show_bug.cgi?id=2241933
Проверьте безопасность своего сайта и почты → Полная проверка домена