curlの複数の脆弱性情報(Medium: CVE-2021-22945, CVE-2021-22946, CVE-2021-22947 )

2021.09.16

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

09/14/2021にcurlの複数の脆弱性情報(Medium: CVE-2021-22945, CVE-2021-22946, CVE-2021-22947 )が公開されています。こちらではこの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

Priority

Priority

CVE番号影響するバージョンPriorityCVSS Score / CVSS Vector
CVE-2021-229457.73.0 <= libcurl <= 7.78.0

Vendor: Medium

Red Hat: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:H

CVE-2021-229467.20.0 <= libcurl <= 7.78.0

Vendor: Medium

Red Hat: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:N/A:N

CVE-2021-229477.20.0 <= libcurl <= 7.78.0

Vendor: Moderate

Red Hat: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:N/A:N

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22945
    • メモリの二重開放の問題
    • libcurlではMQTTサーバにデータを送る時に幾つかの状況でポインタが既に開放されたメモリエリアをポイントしたままになってしまい、二重開放を行ってしまう可能性があります。

      この脆弱性を利用したExploitはベンダーでは確認されていません。

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22946
    • 必要なTLS使用のバイパス
    • ユーザはcurlに対して、CURLOPT_USE_SSLを設定してIMAP、POP3やFTPサーバとTLSのアップグレードが必要であると伝えることが出来ます。サーバが特別に細工されたレスポンスを返すことにより、この要求はバイパスすることが可能です。

      この脆弱性によりcurlはTLSを用いずに操作を行うため、重要なデータが平文でネットワークを流れてしまう可能性があります。

      この脆弱性を利用したExploitはベンダーでは確認されていません。

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22947
    • Man-In-The-Middle攻撃によるSTARTTLSプロトコルのインジェクション
    • curlがIMAP, POP3, SMTP, FTPサーバと接続してデータを交換する際に安全のためSTARTTLSを用いてTLSレベルをアップグレードします。この際にはサーバがTLSアップグレードまでに複数のレスポンスを返すことが出来ます。

      これら複数の「パイプライン化された」応答はcurlによりキャッシュされます。curlはTLSをアップグレードしますが、キャッシュされたレスポンスは消去しないためそれを用いることが出来ます。

      この脆弱性を利用して、中間車攻撃による応答のインジェクションを行うことができる可能性があります。

      今のところ、この脆弱性を利用したExploitはベンダーでは確認されていません。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

対処方法

対処は各ディストリビューションの情報に従ってください。

セキュリティ系連載案内

CM

こちらで小学生の勉強支援サイトをオープンしました。算数のプリント（都度、自動生成）が無料でダウンロードできます。コンテンツは未だ少ないですが、徐々に増やしていきます。

セミナー情報1

2021/09/13 18:30から、OSSセキュリティ技術の会　第九回勉強会を行います。

7/30にリリースされたKeycloak 15で、FAPI(Financial-Grade API)、CIBA(Client Initiated Backchannel Authentication)に対応しました(Certificateはまだですが…）。またDevice Flowにも対応しています。これを記念し、KeycloakのFAPI,CIBAの主要開発者もお招きして、「KeycloakのFAPI CIBA 対応記念の巻」と題して勉強会を行います。

Connpassのこちらがプログラム内容と申し込みの詳細になります。奮ってご参加下さい。

セミナー情報2

コンピュータセキュリティシンポジウム(CSS)2021併設のワークショップ、 OSSセキュリティ技術ワークショップ(OWS) 2021の企画講演セッション及び、 一般論文セッションの発表募集をさせていただきます。

今年もオンラインでの開催となり、OWSトラックの一般論文セッションの論文募集(申込締め切り: 2021年08月02日(月))と企画セッションを行いますので，ご投稿とご参加よろしくお願いいたします。

https://www.iwsec.org/ows/2021/

タイトルとURLをコピーしました