CVE-2023-23914

Curl obsługuje HSTS, który nakazuje używanie HTTPS zamiast HTTP, nawet gdy użytkownik poda adres z protokołem HTTP. Podatność polega na tym, że stan HSTS nie jest prawidłowo przekazywany między kolejnymi transferami wykonywanymi szeregowo w jednym poleceniu. W efekcie pierwsze żądanie może respektować politykę HSTS i korzystać z HTTPS, jednak kolejne żądania do tych samych lub powiązanych hostów ignorują tę politykę i komunikują się przez niezaszyfrowany HTTP, przesyłając dane otwartym tekstem (cleartext).

Atakujący mogący podsłuchać ruch sieciowy (np. metodą man-in-the-middle) może przechwycić wrażliwe informacje — dane uwierzytelniające, tokeny sesji lub inne poufne dane — przesyłane niezaszyfrowanym połączeniem HTTP. Możliwa jest również modyfikacja przesyłanych danych.

Należy zaktualizować curl do wersji 7.88.0 lub nowszej, w której błąd został naprawiony. Użytkownicy produktów NetApp powinni zastosować patche wskazane w biuletynie bezpieczeństwa NetApp (ntap-20230309-0006) oraz zaleceniach dystrybucji (np. Gentoo GLSA 202310-12). Należy zastosować patche dostępne u producenta zgodnie z referencjami.

curl w wersjach poniżej 7.88.0 oraz produkty go wykorzystujące: NetApp Active IQ Unified Manager, NetApp Clustered Data ONTAP, NetApp H300S Firmware i NetApp H300S.

Podatność zgłoszona za pośrednictwem platformy HackerOne (raport #1813864). CVSS 9.1 (Critical) wynika z braku wymagań dotyczących uprawnień i interakcji użytkownika oraz sieciowego wektora ataku, jednak brak potwierdzenia aktywnego wykorzystania w środowiskach produkcyjnych (brak wpisu w CISA KEV).