Daniel Stenberg

Um servidor HTTP remoto pode fazer com que o `curl` grave um registro em um arquivo de cookies Netscape que excede o limite de parsing de comprimento de linha ao fornecer um nome e valor de cookie longos. Quando uma invocação subsequente do `curl` tenta ler esse arquivo de cookies usando a flag `--cookie`, o processo de parsing é abortado silenciosamente ao encontrar a linha excessivamente longa, ignorando todos os cookies válidos subsequentes no arquivo.

O libcurl pode retornar acidentalmente uma URL contendo credenciais quando a opção `CURLINFO EFFECTIVE URL` é utilizada com a função `curl easy getinfo()`, mesmo que a URL original ou a URL de redirecionamento não as contenham. Isso ocorre quando o curl recupera credenciais de um arquivo `.netrc`. A ferramenta de linha de comando curl também é afetada através da opção `--write-out '%{url effective}'`.

Uma falha de lógica na ferramenta de linha de comando curl impede que as opções de verificação de host SSH sejam aplicadas quando uma conexão é estabelecida via redirecionamento. Especificamente, se a solicitação inicial for HTTPS e o servidor retornar um redirecionamento `Location: sftp://example.com` ao usar `--location` e `--proto-redir +sftp`, a conexão SFTP subsequente ignora os métodos de verificação solicitados pelo usuário. Isso afeta a aplicação das opções `--knownhosts`, `--hostpubsha256` e `--hostpubmd5`.

Uma estrutura MIME multipart profundamente aninhada, construída via API pública, causa um estouro de pilha (stack overflow) no libcurl durante as operações de limpeza. Uma profundidade de recursão excessiva dentro da função `curl mime free()` leva à alocação ilimitada de quadros de pilha durante a travessia da estrutura, resultando no travamento do processo hospedeiro.

Um servidor HTTP remoto pode definir um cookie que é aceito e gravado em um arquivo de cookies Netscape, mas que não pode ser recarregado. Quando o curl é invocado posteriormente usando o mesmo caminho para os parâmetros `--cookie` e `--cookie-jar`, a aplicação falha antes de estabelecer a conexão. Durante o procedimento de limpeza, o curl substitui o arquivo de cookies por um arquivo vazio, resultando na exclusão de cookies de domínios não relacionados.

A máquina de estados TFTP falha ao validar as transições de estado em relação à direção de transferência solicitada, aceitando respostas de abertura do servidor para leituras e gravações de forma intercambiável. Um servidor TFTP malicioso pode responder a uma solicitação de download de modo a forçar o cliente para o modo de transmissão. Isso faz com que o libcurl consuma e transmita dados do ponteiro persistente `CURLOPT READDATA` do handle, que pode incluir dados remanescentes de operações anteriores não relacionadas, como uma solicitação HTTP POST executada em um handle reutilizado.

Um servidor FTP, IMAP, POP3 ou SMTP malicioso pode explorar o libcurl ao omitir permanentemente a linha de resposta de controle final. Essa ação permite que o servidor ignore completamente o mecanismo de tempo limite de transferência configurado, bloqueando indefinidamente todas as transferências simultâneas vinculadas ao mesmo multi-handle.

Uma origem HTTPS autenticada pode fornecer um valor `max-age` de HSTS que é aceito pelo analisador, mas falha durante a serialização de tempo subsequente. Em sistemas de 64 bits, valores extremos de `max-age` podem resultar em uma expiração absoluta que excede os limites da estrutura de tempo do calendário, embora permaneça dentro dos limites inteiros de tempo padrão. Durante o processo de salvamento do cache, o arquivo HSTS original é truncado antes que um substituto temporário seja gravado. Se a serialização falhar, o arquivo temporário é excluído, resultando em um cache vazio ou parcial. Essa perda de dados ocorre silenciosamente e a aplicação encerra a execução com sucesso sem indicar um erro.

Existe um problema durante o processo de importação do cache HSTS onde a importação de uma entrada HSTS pai com a flag `includeSubDomains` antes de uma entrada filha com vida útil mais longa faz com que a entrada filha seja descartada silenciosamente. Quando a entrada pai expira, a política HSTS válida para a filha é perdida, levando o software a emitir requisições HTTP não criptografadas em vez de atualizá-las para HTTPS.

Uma falha durante uma operação `LIST` de wildcard FTP impede a restauração do callback de gravação, deixando-o configurado para o analisador de listagem interno e os dados do callback de gravação apontando para o easy handle. A reutilização deste handle pode causar um travamento imediato. A clonagem do handle via `curl easy duphandle()` propaga este estado corrompido. Se o handle original for liberado, o uso do handle clonado leva a uma leitura de use-after-free no heap. Além disso, a reutilização do handle original ou clonado ao atualizar apenas `CURLOPT WRITEDATA` sem atualizar `CURLOPT WRITEFUNCTION` causa confusão de tipo, onde o analisador interno grava bytes de resposta do servidor no local de memória especificado pelo ponteiro de dados de gravação fornecido pela aplicação.

Existe uma falha no processamento de fluxos HTTP/2 Server Push. Quando o handle pai é configurado para compartilhar conexões com outros handles, uma condição de use-after-free pode ocorrer durante o processo de limpeza. Use-after-free é um problema de corrupção de memória onde uma aplicação continua a usar um ponteiro após ele ter sido liberado.

Ocorre um heap-use-after-free ao utilizar a interface multi do libcurl com configurações de provedor do OpenSSL 3. O problema surge porque o libcurl anexa um contexto de biblioteca alocado ao estado do easy handle e o passa para o OpenSSL sem adquirir uma referência de propriedade. Se o easy handle for destruído prematuramente, o contexto é liberado enquanto a conexão ativa mantém um ponteiro pendente, o que pode ser acionado durante operações de E/S subsequentes ou operações pós-handshake.

Existe uma falha onde o uso de um tab horizontal (código ASCII 9) em vez de um espaço (código ASCII 32) imediatamente antes do atributo `Secure` em um cabeçalho `Set-Cookie:` faz com que o software armazene o cookie sem a flag Secure. Isso pode resultar no envio do cookie via HTTP em texto simples em requisições subsequentes ao mesmo host.

Quando o suporte ao libpsl está habilitado, o software falha ao aplicar a verificação de limite da Public Suffix List ao processar um cabeçalho `Set-Cookie`. Isso ocorre quando o atributo `Domain` corresponde explicitamente a um host de origem que é um sufixo público, como `co.uk`. Em vez de tratá-lo como um cookie estrito apenas para o host, o sistema o salva com um escopo de domínio curinga (`.co.uk`). Consequentemente, o cookie é incluído inadequadamente em requisições subsequentes ou redirecionamentos HTTP para subdomínios irmãos arbitrários sob o mesmo sufixo público, como `attacker.co.uk`.

Existe um problema onde o libcurl falha ao aplicar o pinning de chave pública quando o `CURLOPT PINNEDPUBLICKEY` é utilizado em conjunto com opções que desativam a verificação padrão de pares, especificamente `CURLOPT SSL VERIFYPEER = 0` e `CURLOPT SSL VERIFYHOST = 0`. Isso permite que conexões não autenticadas sejam bem-sucedidas sem a apresentação de um certificado do servidor, ignorando a verificação de pinning.

Uma falha no libcurl faz com que o software reutilize incorretamente uma configuração de conexão HTTPS existente para um hostname específico, mesmo quando é utilizada uma configuração de Native CA Store (`CURLSSLOPT NATIVE CA`) diferente daquela usada no momento da criação da conexão. O Native CA Store é um mecanismo que permite ao curl utilizar o repositório de certificados integrado do sistema operacional para verificar a autenticidade de certificados SSL/TLS.

Existe um problema onde o cabeçalho HTTP `Referer:` persiste mesmo após ser explicitamente limpo. Embora passar NULL para `CURLOPT REFERER` tenha como objetivo suprimir o cabeçalho, o estado interno não é limpo. Isso faz com que a string de referência anterior seja reutilizada e enviada em requisições subsequentes, o que pode levar ao vazamento de informações sensíveis para servidores não pretendidos.

Um problema de use-after-free ocorre quando a função `curl easy pause()` é chamada dentro do callback `CURLMOPT SOCKETFUNCTION` baseado em eventos. Isso leva a uma situação em que o libcurl tenta armazenar uma flag usando um ponteiro de estrutura pendente imediatamente após a memória associada a esse ponteiro ter sido liberada.

Ocorre uma desconexão entre a camada de ferramenta e o libcurl quando um usuário invoca o curl com uma URL sem esquema e a opção `--proto-default` definida como sftp ou scp. A camada de ferramenta infere incorretamente o esquema da URL, o que ignora a inicialização de opções críticas de segurança SSH, especificamente `CURLOPT SSH HOST PUBLIC KEY SHA256` e `CURLOPT SSH KNOWNHOSTS`. Embora o tempo de execução do libcurl ainda estabeleça a conexão via SFTP ou SCP, a omissão dessas opções de verificação de host permite que o curl se conecte a um host remoto SSH não verificado sem gerar um erro.

Ao reutilizar um handle para transferências sequenciais orientadas por configuração de proxy via variáveis de ambiente, o software falha ao limpar o estado de autenticação do proxy entre as requisições. Se uma transferência inicial se autenticar em um proxy usando autenticação Digest, uma transferência subsequente roteada por um proxy diferente vaza erroneamente o cabeçalho `Proxy-Authorization:` destinado apenas ao primeiro proxy.