DSA-3069-1 curl -- обновление безопасности

Средняя (4.3)

(AV:N/AC:M/Au:N/C:P/I:N/A:N)

Debian

curl (any)

Симеон Парашудис обнаружил, что функция curl_easy_duphandle()
в cURL, библиотеке передачи URL, содержит ошибку, которая приводит к тому, что libcurl
во время выполнения операции HTTP POST неожиданно отправляет чувствительные данные,
которые не предназначены к отправке.
Для воспроизведения этой ошибки требуется, чтобы по порядку использовались CURLOPT_COPYPOSTFIELDS и curl_easy_duphandle(),
а затем для выполнения HTTP POST использовался дублирующий
объект обработки. Инструмент командной строки curl не содержит
этой проблемы, поскольку указанные действия в таком порядке в нём не используются.
В стабильном выпуске (wheezy) эта проблема была исправлена в
версии 7.26.0-1+wheezy11.
В готовящемся стабильном выпуске (jessie) эта проблема будет
исправлена в версии 7.38.0-3.
В нестабильном выпуске (sid) эта проблема была исправлена в
версии 7.38.0-3.
Рекомендуется обновить пакеты curl.

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 7:
noarch:
curl - 7.26.0-1+wheezy11

http://www.debian.org/security/dsa-3069/

Источник: CVE
Наименование: CVE-2014-3707
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-3707