CVE-2021-22945

Podczas wysyłania danych do serwera MQTT, libcurl w wersjach 7.73.0 i 7.78.0 w pewnych okolicznościach błędnie zatrzymywało wskaźnik do obszaru pamięci, który został już zwolniony. Biblioteka następnie ponownie używała tego wskaźnika w kolejnym wywołaniu wysyłania danych, a następnie zwalniała tę samą pamięć po raz drugi. Taki scenariusz double-free prowadzi do uszkodzenia sterty (heap corruption), co może skutkować nieoczekiwanym zakończeniem procesu lub potencjalnie być wykorzystane do wykonania kodu.

Atakujący może doprowadzić do ujawnienia danych z pamięci procesu (naruszenie poufności) lub do awarii aplikacji korzystającej z libcurl (naruszenie dostępności). W skrajnych przypadkach uszkodzenie pamięci może umożliwić zdalne wykonanie kodu (RCE).

Należy zaktualizować libcurl do wersji wyższej niż 7.78.0, eliminującej opisaną podatność. Użytkownicy produktów NetApp i Fedora powinni zastosować patche dostępne u producenta zgodnie z referencjami. Zalecane jest również ograniczenie możliwości nawiązywania połączeń MQTT przez aplikacje korzystające z podatnych wersji biblioteki do czasu wdrożenia aktualizacji.

libcurl w wersjach do 7.73.0 oraz 7.78.0; dotknięte są również dystrybucje Fedora oraz produkty NetApp: Cloud Backup i Clustered Data ONTAP zawierające podatną wersję biblioteki

Raport o podatności został pierwotnie zgłoszony za pośrednictwem platformy HackerOne (raport nr 1269242). Podatność dotyczy specyficznie komunikacji protokołem MQTT — jeśli libcurl nie jest używany z MQTT, ryzyko jest niższe.