注意!开源命令行工具Curl 中存在严重漏洞
2023-10-9 17:22:51 Author: mp.weixin.qq.com(查看原文) 阅读量:24 收藏

 聚焦源代码安全,网罗国内外最新资讯!

编译:代码卫士

专栏·供应链安全

数字化时代,软件无处不在。软件如同社会中的“虚拟人”,已经成为支撑社会正常运转的最基本元素之一,软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展,软件供应链也越发复杂多元,复杂的软件供应链会引入一系列的安全问题,导致信息系统的整体安全防护难度越来越大。近年来,针对软件供应链的安全攻击事件一直呈快速增长态势,造成的危害也越来越严重。

为此,我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯,分析供应链安全风险,提供缓解建议,为供应链安全保驾护航。

注:以往发布的部分供应链安全相关内容,请见文末“推荐阅读”部分。

基础性开源命令行工具 curl 的维护人员提醒称,本周将修复两个漏洞,其中一个是高危漏洞。

Curl 为很多网络协议如SSL、TLS、HTTP、FTP、SMTP 等提供支持,供广大开发人员和系统管理员“与API交互、下载文件并在多种基于互联网的任务中创建自动化工作流。“

上周三,Curl 工具的维护人员在 GitHub 安全公告中提到,将为一个高危漏洞CVE-2023-38545和一个低危漏洞CVE-2023-38546发布修复方案,curl 更新将在10月11日发布以修复这些漏洞。CVE-2023-38545同时影响 curl 和 libcurl,而CVE-2023-38546仅影响 libcurl。

可能是长时间内最严重的漏洞

一名维护人员提到,“该高危漏洞可能是很长时间以来最为严重的curl 漏洞。我无法披露漏洞所影响的版本范围,否则识别该问题的准确率非常高,因此我无法提前披露。具体能透露的就是‘最近数年发布的版本’均受影响。我们已经通知了发行版本邮件列表,使成员发行版本能够准备补丁。(在没有支持合同以及合理理由的情况下,其他任何人均无法在10月11日之前获得漏洞详情。)一旦了解之后,应马上行动。”

Tanium 公司的端点安全研究总监 Melissa Bischoping 提到,curl 作为独立工具和其它软件的组成部分均得到广泛应用。Curl 的广泛使用意味着组织机构应当趁此扩展其环境。Bischoping 解释称,虽然该漏洞可能并不影响curl的所有实现,但鉴于该首席开发人员给出的提前通知以及它可能具有的广泛影响,“即使最终并没有那么严重,但将其作为重大事件进行规划是稳妥做法。

她提到,“作为行业来讲,避免引发恐慌、不确定性和质疑的同时,以准备和补丁管理规划来应对这些‘最糟糕场景’至关重要。我很感激在我们为10月11日将发布的补丁进行权力准备时,curl开发人员能够竭尽所能提前告知并尝试控制最激烈的反应。”

Qualys 公司的研究员 Saeed Abbasi 发布博客文章解释称,libcurl 可使开发人员“在应用程序中增加健壮的数据传输功能,确保软件能够与服务器就多种任务如发送HTTP请求、管理cookie和处理认证等任务进行通信。这使得 curl 成为开发互联和web 应用的重要工具。”

该漏洞为开源安全旋风月画上了句号。白宫主持了由开源安全专家组成的一个论坛,随后发布了关于未来如何应对开源网络安全的路线图。但该会议之后,已有多个开源漏洞引发警报。网络安全和基础设施局 (CISA) 和网络安全研究员提醒称,影响两款热门开源工具libwebp和libvpx的多个漏洞目前已遭黑客利用。谷歌表示已发现未知商业监控软件厂商利用这些漏洞的证据。

上周二,亚马逊Web Services 为TorchServe 用户发布提醒。TorchServe 用于全球规模最大的人工智能模型企业中。

SBOM重要性凸显

多名人士表示,最近发生的事件强调了政府推动SBOMs的意义所在。SBOM将有助于组织机构了解所使用软件所依赖的工具。

Bischoping 表示,关于影响Curl 和 libcurl 问题的公布“再次说明SBOM的重要性所在,它可使组织机构找到使用特定组件如curl的任何东西。过去多年来,类似工具中出现类似漏洞的情况并不少见。在行业更好地标准化并默认包含SBOM文档之前,这一问题仍将难以解决“。

代码卫士试用地址:https://codesafe.qianxin.com
开源卫士试用地址:https://oss.qianxin.com

推荐阅读

在线阅读版:《2023中国软件供应链安全分析报告》全文

奇安信入选全球《软件成分分析全景图》代表厂商

奇安信入选全球《静态应用安全测试全景图》代表厂商

《软件供应商手册:SBOM的生成和提供》解读

美国商务部发布软件物料清单 (SBOM) 的最小元素(上)

美国商务部发布软件物料清单 (SBOM) 的最小元素(中)

美国商务部发布软件物料清单 (SBOM) 的最小元素(下)

速修复MOVEit Transfer 中的这个新0day!

MOVEit 文件传输软件0day被用于窃取数据

MSI UEFI 签名密钥遭泄漏 恐引发“灾难性”供应链攻击

OilRig APT 组织或在中东地区发动更多 IT 供应链攻击

“木马源”攻击影响多数编程语言的编译器,将在软件供应链攻击中发挥巨大作用
GitHub 在 “tar” 和 npm CLI 中发现7个高危的代码执行漏洞
流行的 NPM 包依赖关系中存在远程代码执行缺陷
速修复!热门npm 库 netmask 被曝严重的软件供应链漏洞,已存在9年
Npm 恶意包试图窃取 Discord 敏感信息和浏览器文件
微软“照片”应用Raw 格式图像编码器漏洞 (CVE-2021-24091)的技术分析
速修复!热门npm 库 netmask 被曝严重的软件供应链漏洞,已存在9年
SolarWinds 供应链事件后,美国考虑实施软件安全评级和标准机制
找到软件供应链的薄弱链条
GitHub谈软件供应链安全及其重要性
揭秘新的供应链攻击:一研究员靠它成功入侵微软、苹果等 35 家科技公司
开源软件漏洞安全风险分析
开源OS FreeBSD 中 ftpd chroot 本地提权漏洞 (CVE-2020-7468) 的技术分析
集结30+漏洞 exploit,Gitpaste-12 蠕虫影响 Linux 和开源组件等
限时赠书|《软件供应链安全—源代码缺陷实例剖析》新书上市
热门开源CI/CD解决方案 GoCD 中曝极严重漏洞,可被用于接管服务器并执行任意代码
GitKraken漏洞可用于盗取源代码,四大代码托管平台撤销SSH密钥
因服务器配置不当,热门直播平台 Twitch 的125GB 数据和源代码被泄露
彪马PUMA源代码被盗,称客户数据不受影响
原文链接

https://therecord.media/curl-vulnerabilities-to-be-announced-open-source

本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错,就点个 “在看” 或 "” 吧~


文章来源: https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247517813&idx=1&sn=d93b115c2f34ccedd19200ec3263c342&chksm=ea94b71fdde33e0974bce7d6de4b942fca9a77a250a6426c544c4657b24a753a32bb9a185c31&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh