09 Eki 2023Haber odasıYazılım Güvenliği / Güvenlik Açığı

Bakımını yapanlar Bukle kitaplığı 11 Ekim 2023’te yayınlanacak güncelleme setinin parçası olarak ele alınması beklenen iki güvenlik açığına ilişkin tavsiye niteliğinde bir uyarı yayınladı.

Bu içerir sırasıyla CVE-2023-38545 ve CVE-2023-38546 tanımlayıcıları altında izlenen yüksek önem derecesine sahip ve düşük önem derecesine sahip bir kusur.

Sorunlarla ilgili ek ayrıntılar ve etkilenen tam sürüm aralıkları, bilgilerin “sorunu (bölgeyi) çok yüksek bir doğrulukla tanımlamaya yardımcı olmak” için kullanılabileceği olasılığı nedeniyle gizlendi.

Bununla birlikte, kütüphanenin “son birkaç yıllık” versiyonlarının etkilendiği söyleniyor.

Projenin baş geliştiricisi Daniel Stenberg, yayınladığı bir mesajda şunları söyledi: “Elbette, biz yamayı göndermeden önce birisinin bunu (tekrar) bulmasına dair küçük bir risk var, ancak bu sorunun yıllardır fark edilmemesinin bir nedeni var.” GitHub’da.

Libcurl tarafından desteklenen Curl, popüler komut satırı aracı URL sözdizimi ile belirtilen verileri aktarmak için. FTP(S), HTTP(S), IMAP(S), LDAP(S), MQTT, POP3, RTMP(S), SCP, SFTP, SMB(S), SMTP(S) gibi çok çeşitli protokolleri destekler. ), TELNET, WS ve WSS.

2023-38545 hem libcurl’u hem de curl’u etkilerken, CVE-2023-38546 yalnızca libcurl’u etkiler.

Qualys Tehdit Araştırma Birimi (TRU) ürün müdürü Saeed Abbasi, “Sürüm öncesi sorun tespitini önlemek için belirli sürüm aralığı ayrıntılarının açıklanmaması nedeniyle, güvenlik açıkları curl 8.4.0 sürümünde düzeltilecek” dedi. söz konusu.

“Kuruluşlar acilen curl ve libcurl kullanan tüm sistemlerin envanterini çıkarmalı ve taramalı, 11 Ekim’de Curl 8.4.0’ın piyasaya sürülmesiyle birlikte ayrıntılar açıklandığında potansiyel olarak savunmasız sürümlerin tespit edilmesini öngörmelidir.”

Çoğunlukla Linux kullanıcıları ne olduğunu bilmiyor kıvırmak. Öte yandan programcılar ve sistem yöneticileri bu yardımcı programa aşinadır.

Bu kabuk komutu ve ilgili kütüphanesi, libcurl, ağ protokolleri üzerinden veri aktarmak için kullanılır ve masaüstü bilgisayarlarda, sunucularda, bulut örneklerinde, arabalarda, TV’lerde, yönlendiricilerde ve hemen hemen her Nesnelerin İnterneti cihazında (IoT) kullanılır. Curl’ün geliştiricileri bunun yirmi milyardan fazla örnekte kullanıldığını tahmin ediyor. Ve işte potansiyel olarak çok hoş olmayan bir güvenlik hatası geliyor, CVE-2023-38545.

Ne demek istiyorsun ? Curl’ün baş geliştiricisi Daniel Stenberg, bir blog yazısında şunu yazdı: “Curl’de uzun zamandır keşfedilen en kötü güvenlik sorunu“O daha iyisini bilir. Güvenlik uzmanları da aynı fikirde. Kısacası durum hiç de iyi değil.

Uzaktan kod yürütme olanağı

Qualys’in tehdit araştırma birimi ürün müdürü Saeed Abbasi’nin uyardığı gibi:

Kuruluşlar, curl kullanarak tüm sistemlerin envanterini çıkarmak, taramak ve güncellemek için hızlı bir şekilde harekete geçmelidir. ve libcurl. Bu güvenlik açığının ciddiyeti, curl ve libcurl tarafından sağlanan zengin veri aktarım özelliklerinin sağlam ve güvenli kalmasını sağlayarak, birbirine bağlı ve web uyumlu uygulamaları korumak için derhal müdahale edilmesini gerektirir.

Özellikle, birisi proxy protokolünü kullandığında güvenlik kusuru ortaya çıkabilir ÇORAP5. Oldukça basit olan bu protokol, özel bir “aracı” aracılığıyla ağ iletişimini kurar. Protokol aracılığıyla iletişim kurmak için kullanılır Tor, anonim iletişimleri sağlamak ve kurum ve işletmelerin içinden özel olarak internete erişmek için kullanılan açık kaynaklı internet yazılımıdır. NordVPN ve Hide.Me gibi bazı sanal özel ağlar (VPN’ler), kullanıcılarının İnternet içerik bloklarını aşmasına ve anonimliklerini güvence altına almasına olanak sağlamak için bunu kullanır.

Bay Steinberg şunları söyledi: “Bir HTTPS sitesini ziyaret eden bir Tor kullanıcısı (normalde SOCKS5 kullanır) “İhlal veya benzeri bir soruna maruz kalmış” büyük ihtimalle bu güvenlik ihlali kapsamına girecektir.

CVE-2023-38545 bir güvenlik açığıdır bellek taşması. Uzaktan kod yürütme için kullanılabilir. Zaten var Kıvrılma kusuru kullanılarak bir saldırının nasıl gerçekleştirilebileceğini gösteren kavram kanıtı. Güvenlik ihlali Şubat ayında tanıtıldı 2020 ve 7.69.0’dan 8.3.0’a kadar olan libcurl sürümlerini etkiler.

Geliştirici için gerçek bir utanç

Steinberg yaptığı hatadan utanıyor:

Şimdi kodu okuyunca hatayı görmemek mümkün değil. Evet, farkında olmadan bu hatayı yaptığımı ve daha sonra 1315 gün boyunca koddaki hatanın keşfedilmediğini kabullenmek zorunda kalmak gerçekten çok acı. Bunun için üzgünüm. Ben sadece insanım. …Geriye dönüp baktığımızda, yirmi milyardan fazla örneğe yüklenen kodda taşma hatasının ortaya çıkmasının tavsiye edebileceğim bir deneyim olmadığını düşünüyorum.

Herkes bunun büyük bir mesele olduğunu düşünmüyor. Microsoft Güvenlik Yanıt Merkezi Güvenlik Açığı ve Azaltma ekibinin üyesi Bill Demirkapi, Twitter’da tweet attı, yani“‘Curl’de uzun zamandır keşfedilen en kötü güvenlik sorununa’ yalnızca kurbanın SOCKS5 proxy kullanması ve hileli bir sunucuya bağlanması veya bir MitM saldırısına uğraması durumunda erişilebilir. [Man in the Middle] ? (Ben tekrar uyumaya gideceğim).”

Yazılım tedarik zinciri şirketi JFrog, daha az alaycı bir şekilde şunları kaydetti:

Güvenle varsayılabilir ki bu güvenlik açığından yararlanılacak uzaktan kod yürütme için. Ancak bir makinenin savunmasız olması için gereken önkoşullar seti, başlangıçta düşünüldüğünden daha kısıtlayıcıdır. Dolayısıyla curl kullanıcılarının büyük çoğunluğunun bu güvenlik açığından etkilenmeyeceğine inanıyoruz.

Kesin olmak, Sorunun gerçek bir curl güvenlik sorununa dönüşmesi için gereken ön koşullar şunlar:

1. Kıvrılma isteği çorap5h üzerinden yapılır.
2. Curl makinesinin işlem tamponu ~65k’den azdır.
3. SOCKS sunucusundan gelen “merhaba” yanıtı gecikti.
4. Saldırgan, el sıkışma arabelleğinden daha büyük bir nihai hedef ana bilgisayar adı belirler.

Bu pek çok önkoşuldur.

Akıllı bir stratejik karar

Yine de Curl’ün çeşitli işletim sistemleri, uygulamalar ve IoT cihazlarındaki yaygın kullanımı göz önüne alındığında, Steinberg’in konuyla ilgili duyurusu akıllıca bir stratejik hamleydi. Kuruluşlara sistemlerini denetlemeleri, kullanılan tüm curl ve libcurl örneklerini belirlemeleri ve kurum çapında kapsamlı bir iyileştirme planı geliştirmeleri için yeterli zaman tanıdı.

Curl projesi burada bitmedi; Kusurlarla ilgili bilgiler, çeşitli Linux, Unix ve Unix benzeri dağıtımların geliştiricileriyle eş zamanlı olarak paylaşıldı. Bu işbirliğine dayalı yaklaşım, yamaların ve güncellenmiş paketlerin curl v8.4.0’ın resmi sürümünden önce hazır olmasını sağladı.

Curl projesi ve bu nedenle ben, bu güvenlik açıklarıyla ilişkili riskleri azaltmak için kullanıcıların curl/libcurl’ün 8.4.0 sürümüne güncelleme yapmalarını veya önceki sürümlere yama yapmalarını şiddetle tavsiye ediyorum.

Libcurl/curl, birçok Linux dağıtımında varsayılan bir bileşen olduğundan ve birçok kapsayıcı görüntüsüne entegre edildiğinden, Linux kullanıcılarının dikkatli olması ve bu sağlayıcılar tarafından yayımlanan sürümleri izlemesi gerekir. Büyük Linux dağıtımcılarının çoğu yamaları zaten yayınladı.

Kaynak : “ZDNet.com”