curl, HTTP/2 yükleme açığını yamaladı: PoC istemci tarafında kod çalıştırmayı gösterdi
Orijinal başlık: curl Patches HTTP/2 Upload Flaw After PoC Demonstrates Client-Side Code Execution
Kısaca
HTTP/2 yüklemelerinin işlenişindeki bir kusur, yükleme alan kötü niyetli bir sunucunun istemcinin belleğini bozmasına olanak tanıyor; açığı bildiren araştırmacı bunu kod çalıştırmaya dönüştürdü ve curl 14 Ekim'de 8.23.0 sürümüyle düzeltti.
Ne oldu?
- Kusur, yükleme alan kötü niyetli bir sunucunun istemcinin belleğini bozmasına izin veriyor; araştırmacı bunu istemci makinede kod çalıştırmaya dönüştüren bir PoC hazırladı.
- Düzeltme 14 Ekim'de yayımlanan curl 8.23.0 ile geldi; projeye göre gerçek bir saldırı istemciyi ele geçirmek için derleme ve bellek düzenini bilmeyi gerektiriyor ve büyük olasılıkla çökmeyle sonuçlanıyor.
Neden önemli?
curl'e bağımlı yazılımcılar ve DevOps ekipleri, istemci tarafında kod çalıştırma riski nedeniyle 8.23.0 sürümüne hemen geçmeli.