こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。
05/26/2021にcurlの複数の脆弱性情報(High: CVE-2021-22901, Medium: CVE-2021-22898, Low: CVE-2021-22897 )が公開されています。こちらではこの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。
[過去の関連リンク(最新5件)]
curlの複数の脆弱性情報(Low: CVE-2020-8284, Medium: CVE-2020-8285, CVE-2020-8286 )
curlの脆弱性情報(Medium: CVE-2019-5481, CVE-2019-5482)
curlの脆弱性情報(Medium: CVE-2018-16890, High: CVE-2019-3822, Low: CVE-2019-3823)
curlの複数の脆弱性情報(Low: CVE-2018-16839, CVE-2018-16840, CVE-2018-16842)
curlに複数の脆弱性(CVE-2018-1000300, CVE-2018-1000301)
curlの複数の脆弱性(CVE-2018-1000120, CVE-2018-1000121, CVE-2018-1000122) — | サイオスOSS | サイオステクノロジー
curlに複数の脆弱性(CVE-2017-8816, CVE-2017-8817, CVE-2017-8818) — | サイオスOSS | サイオステクノロジー
Priority
Priority
| CVE番号 | 影響するバージョン | Priority | CVSS Score / CVSS Vector |
|---|---|---|---|
| CVE-2021-22897 | 7.61.0 <= libcurl <= 7.76.1 | Vendor: Low | Red Hat: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N |
| CVE-2021-22898 | 7.7.0 <= libcurl <= 7.76.1 | Vendor: Medium | |
| CVE-2021-22901 | 7.75.0 <= libcurl <= 7.76.1 | Vendor: High |
修正方法
各ディストリビューションの情報を確認してください。
CVE概要(詳細はCVEのサイトをご確認ください)
- http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22897
- libcurlではCURLOPT_SSL_CIPHER_LISTオプションを用いて転送時に使用するTLS暗号を指定することが出来ます。
コード上のバグにより、選択された暗号化方式はライブラリ中の単一で”スタティックな”変数に格納されており、アプリケーションが複数の同時転送を行う場合には、最後に設定された暗号化方式がすべての転送に使用されてしまう可能性がありました。最悪のシナリオでは、転送時に弱いセキュリティが選ばれてしまう可能性があります。
この脆弱性を利用したExploitはベンダーでは確認されていません。
この問題はWindowsでのみ発生します。
- libcurlではCURLOPT_SSL_CIPHER_LISTオプションを用いて転送時に使用するTLS暗号を指定することが出来ます。
- http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22898
- curlはCURLOPT_TELNETOPTIONSとしてlibcurlでは実装されている”-t”オプションをサポートしています。これは非常に稀なケースで使用されるオプションで、変数=コンテンツのペアをTELNETサーバに送る際に使用するものです。
NEW_ENV変数を送る際のパーサに問題があり、libcurlはスタックベースバッファーの初期化されていないデータをサーバに送る可能性があります。これにより重要な情報がネットワーク上で平文でサーバに流される可能性があります。
- curlはCURLOPT_TELNETOPTIONSとしてlibcurlでは実装されている”-t”オプションをサポートしています。これは非常に稀なケースで使用されるオプションで、変数=コンテンツのペアをTELNETサーバに送る際に使用するものです。
- http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22901
- 該当のバージョンのlibcurlでは、TLS 1.3の切所チケットが接続に使用された場合にuse-after-freeの脆弱性が発言する問題があります。悪意の有るサーバはこれを利用して、稀なケースですがクライアントでリモートコード実行をさせることができる可能性があります。
主なディストリビューションの対応方法
詳細は、各ディストリビューションの提供元にご確認ください
- Debian
https://security-tracker.debian.org/tracker/CVE-2021-22897
- Red Hat Enterprise Linux/CentOS
https://access.redhat.com/security/cve/CVE-2021-22897
- Ubuntu
https://people.canonical.com/~ubuntu-security/cve/2020/CVE-2021-22897.html
https://people.canonical.com/~ubuntu-security/cve/2020/CVE-2021-22898.html
https://people.canonical.com/~ubuntu-security/cve/2020/CVE-2021-22901.html
- SUSE/openSUSE
https://www.suse.com/security/cve/CVE-2021-22897.html
対処方法
対処は各ディストリビューションの情報に従ってください。
セキュリティ系連載案内
- OSSセキュリティ技術の会による日経Linuxでの連載「IoT時代の最新SELinux入門」がITPro上で読めるようになりました。技術の会代表で第一人者である中村さん等による、最新のSELinuxの情報やコマンド類等も更新されているのでお薦めです。
- OSSセキュリティ技術の会によるThinkITでの連載「開発者のためのセキュリティ実践講座」がThinkIT上で開始しました。技術の会の中の人間で、最新の代表的なOSSセキュリティ技術を紹介していきます。
- OSSセキュリティ技術の会により、ThinkITでLinuxSecuritySummit 2018のレポートが紹介されています。
- OSSセキュリティ技術の会の面により、@ITで「OSS脆弱性ウォッチ」が連載されています。
- OSSセキュリティ技術の会の面により、@ITで「OpenSCAPで脆弱性対策はどう変わる？」が連載されています。
- OSSセキュリティ技術の会のメンバーにより、@ITで「Berkeley Packet Filter（BPF）入門」が連載されています。
CM
こちらで小学生の勉強支援サイトをオープンしました。算数のプリント（都度、自動生成）が無料でダウンロードできます。コンテンツは未だ少ないですが、徐々に増やしていきます。
