DSA-3992-1 curl -- обновление безопасности

Низкая (0.0)

Debian

curl (any) libcurl3 (any) libcurl3-dbg (any) libcurl3-gnutls (any) libcurl3-nss (any) libcurl4-doc (any) libcurl4-gnutls-dev (any) libcurl4-nss-dev (any) libcurl4-openssl-dev (any)

В cURL, библиотеке передачи URL, было обнаружено несколько
уязвимостей. Проект Common Vulnerabilities and Exposures определяет
следующие проблемы:

CVE-2017-1000100
    Эвен Руаль сообщил, что cURL неправильно обрабатывает длинные имена
    файлов при выполнении загрузки по TFTP. Вредоносный сервер HTTP(S) может использовать
    эту уязвимость, перенаправляя клиента, использующего библиотеку cURL,
    на специально сформированный URL TFTP, это приводит к тому, что клиент отправляет
    на удалённый сервер содержимое памяти по UDP.
CVE-2017-1000101
    Брайан Карпентер и Джонгджи Оуян сообщили, что cURL содержит уязвимость в
    функции подстановки, выполняющей грамматический разбор диапазонов чисел, что приводит к
    чтению за пределами выделенного буфера при разборе специально сформированных URL.
CVE-2017-1000254
    Макс Дюмон сообщил, что cURL содержит чтение за пределами выделенного буфера памяти в
    коде для выполнения грамматического разбора FTP-ответа PWD. Вредоносный сервер может использовать
    эту уязвимость для того, чтобы помешать клиенту, использующегому библиотеку cURL,
    работать с этим сервером, что вызывает отказ в обслуживании.

В предыдущем стабильном выпуске (jessie) эти проблемы были исправлены
в версии 7.38.0-4+deb8u6.
В стабильном выпуске (stretch) эти проблемы были исправлены в
версии 7.52.1-5+deb9u1.
Рекомендуется обновить пакеты curl.

Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 9:
noarch:
curl - 7.52.1-5+deb9u1
libcurl3 - 7.52.1-5+deb9u1
libcurl3-dbg - 7.52.1-5+deb9u1
libcurl3-gnutls - 7.52.1-5+deb9u1
libcurl3-nss - 7.52.1-5+deb9u1
libcurl4-doc - 7.52.1-5+deb9u1
libcurl4-gnutls-dev - 7.52.1-5+deb9u1
libcurl4-nss-dev - 7.52.1-5+deb9u1
libcurl4-openssl-dev - 7.52.1-5+deb9u1
Debian GNU/Linux 8:
noarch:
curl - 7.38.0-4+deb8u6
libcurl3 - 7.38.0-4+deb8u6
libcurl3-dbg - 7.38.0-4+deb8u6
libcurl3-gnutls - 7.38.0-4+deb8u6
libcurl3-nss - 7.38.0-4+deb8u6
libcurl4-doc - 7.38.0-4+deb8u6
libcurl4-gnutls-dev - 7.38.0-4+deb8u6
libcurl4-nss-dev - 7.38.0-4+deb8u6
libcurl4-openssl-dev - 7.38.0-4+deb8u6

http://www.debian.org/security/dsa-3992/

Источник: CVE
Наименование: CVE-2017-1000100
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-1000100

Источник: CVE
Наименование: CVE-2017-1000254
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-1000254

Источник: CVE
Наименование: CVE-2017-1000101
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-1000101