DSA-4051-1 curl -- обновление безопасности

Низкая (0.0)

Debian

curl (any) libcurl3 (any) libcurl3-dbg (any) libcurl3-gnutls (any) libcurl3-nss (any) libcurl4-doc (any) libcurl4-gnutls-dev (any) libcurl4-nss-dev (any) libcurl4-openssl-dev (any)

В cURL, библиотеке передачи URL, были обнаружены две уязвимости.

CVE-2017-8816
    Алекс Николс обнаружил переполнение буфера в коде NTLM-аутентификации,
    которое может возникать при использовании 32-битных систем, на которых может происходить
    переполнение динамической памяти при вычислении размера выделяемого буфера памяти.
CVE-2017-8817
    Фаззинг-тестирование, проведённое проектом OSS-Fuzz, привело к обнаружению чтению за
    границами выделенного буфера в функции шаблонизации FTP в libcurl. Вредоносный сервер
    может перенаправлять клиента, использующего libcurl, на URL, использующий шаблон,
    что вызывает чтение за границами выделенного буфера памяти.

В предыдущем стабильном выпуске (jessie) эти проблемы были исправлены
в версии 7.38.0-4+deb8u8.
В стабильном выпуске (stretch) эти проблемы были исправлены в
версии 7.52.1-5+deb9u3.
Рекомендуется обновить пакеты curl.
С подробным статусом поддержки безопасности curl можно ознакомиться на
соответствующей странице отслеживания безопасности по адресу
https://security-tracker.debian.org/tracker/curl">https://security-tracker.debian.org/tracker/curl">https://security-tracker.debian.org/tracker/curl

Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 9:
noarch:
curl - 7.52.1-5+deb9u3
libcurl3 - 7.52.1-5+deb9u3
libcurl3-dbg - 7.52.1-5+deb9u3
libcurl3-gnutls - 7.52.1-5+deb9u3
libcurl3-nss - 7.52.1-5+deb9u3
libcurl4-doc - 7.52.1-5+deb9u3
libcurl4-gnutls-dev - 7.52.1-5+deb9u3
libcurl4-nss-dev - 7.52.1-5+deb9u3
libcurl4-openssl-dev - 7.52.1-5+deb9u3
Debian GNU/Linux 8:
noarch:
curl - 7.38.0-4+deb8u8
libcurl3 - 7.38.0-4+deb8u8
libcurl3-dbg - 7.38.0-4+deb8u8
libcurl3-gnutls - 7.38.0-4+deb8u8
libcurl3-nss - 7.38.0-4+deb8u8
libcurl4-doc - 7.38.0-4+deb8u8
libcurl4-gnutls-dev - 7.38.0-4+deb8u8
libcurl4-nss-dev - 7.38.0-4+deb8u8
libcurl4-openssl-dev - 7.38.0-4+deb8u8

http://www.debian.org/security/dsa-4051/

Источник: CVE
Наименование: CVE-2017-8816
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-8816

Источник: CVE
Наименование: CVE-2017-8817
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-8817