Stanislav Fort

Uma falha de lógica na ferramenta de linha de comando curl impede que as opções de verificação de host SSH sejam aplicadas quando uma conexão é estabelecida via redirecionamento. Especificamente, se a solicitação inicial for HTTPS e o servidor retornar um redirecionamento `Location: sftp://example.com` ao usar `--location` e `--proto-redir +sftp`, a conexão SFTP subsequente ignora os métodos de verificação solicitados pelo usuário. Isso afeta a aplicação das opções `--knownhosts`, `--hostpubsha256` e `--hostpubmd5`.

Uma transferência `ftp://` configurada com `CURLUSESSL NONE` pode reutilizar uma conexão de controle FTP agrupada que foi previamente atualizada com `STARTTLS` e autenticada usando um certificado de cliente. Como o segundo identificador não realiza um novo handshake TLS nem um novo login FTP, o servidor continua a autorizá-lo sob a identidade do certificado do primeiro identificador.

A ativação de `CURLOPT CRLF` permite a injeção de comandos durante operações IMAP APPEND. Ao transmitir dados com expansão de final de linha, o curl anuncia a contagem de bytes de entrada brutos no literal `IMAP APPEND {N}`. Como o servidor lê apenas $N$ bytes para a carga útil, os bytes de estouro restantes são interpretados e executados como comandos IMAP pipelined dentro da sessão autenticada.

Uma origem HTTPS autenticada pode fornecer um valor `max-age` de HSTS que é aceito pelo analisador, mas falha durante a serialização de tempo subsequente. Em sistemas de 64 bits, valores extremos de `max-age` podem resultar em uma expiração absoluta que excede os limites da estrutura de tempo do calendário, embora permaneça dentro dos limites inteiros de tempo padrão. Durante o processo de salvamento do cache, o arquivo HSTS original é truncado antes que um substituto temporário seja gravado. Se a serialização falhar, o arquivo temporário é excluído, resultando em um cache vazio ou parcial. Essa perda de dados ocorre silenciosamente e a aplicação encerra a execução com sucesso sem indicar um erro.

Existe um problema durante o processo de importação do cache HSTS onde a importação de uma entrada HSTS pai com a flag `includeSubDomains` antes de uma entrada filha com vida útil mais longa faz com que a entrada filha seja descartada silenciosamente. Quando a entrada pai expira, a política HSTS válida para a filha é perdida, levando o software a emitir requisições HTTP não criptografadas em vez de atualizá-las para HTTPS.

A função de correspondência do cache de conexão não considera a opção de certificado de cliente automático. Isso permite que uma conexão Schannel em cache, já autenticada, seja reutilizada para uma transferência redirecionada para uma origem diferente, mesmo que a opção de certificado de cliente automático tenha sido explicitamente desativada para essa transferência específica para evitar tal situação.

Um proxy HTTP pode enganar o libcurl para que este envie as credenciais de origem, como senhas Basic ou tickets Negotiate/Kerberos, diretamente para o próprio proxy. Isso acontece quando o proxy responde a uma solicitação de túnel `CONNECT` com um status 401 `WWW-Authenticate:` em vez do status 407 `Proxy-Authenticate:` esperado.

Ao usar um usuário ambiente em uma transferência inicial com autenticação Negotiate, o curl pode transmitir incorretamente detalhes de credenciais para uma segunda origem não relacionada ao ser instruído a seguir redirecionamentos.

Um servidor HTTP remoto pode definir um cookie que é aceito e gravado em um arquivo de cookies Netscape, mas que não pode ser recarregado. Quando o curl é invocado posteriormente usando o mesmo caminho para os parâmetros `--cookie` e `--cookie-jar`, a aplicação falha antes de estabelecer a conexão. Durante o procedimento de limpeza, o curl substitui o arquivo de cookies por um arquivo vazio, resultando na exclusão de cookies de domínios não relacionados.

A configuração de `CURLOPT AWS SIGV4` como NULL não desativa a autenticação SigV4, contrariando as expectativas e a documentação. Consequentemente, uma transferência subsequente no mesmo handle continua a enviar o cabeçalho `Authorization: AWS4-HMAC-SHA256` para qualquer URL definida a seguir, resultando no vazamento de informações de estado.

Quando o suporte ao libpsl está habilitado, o software falha ao aplicar a verificação de limite da Public Suffix List ao processar um cabeçalho `Set-Cookie`. Isso ocorre quando o atributo `Domain` corresponde explicitamente a um host de origem que é um sufixo público, como `co.uk`. Em vez de tratá-lo como um cookie estrito apenas para o host, o sistema o salva com um escopo de domínio curinga (`.co.uk`). Consequentemente, o cookie é incluído inadequadamente em requisições subsequentes ou redirecionamentos HTTP para subdomínios irmãos arbitrários sob o mesmo sufixo público, como `attacker.co.uk`.

Ocorre um heap-use-after-free ao utilizar a interface multi do libcurl com configurações de provedor do OpenSSL 3. O problema surge porque o libcurl anexa um contexto de biblioteca alocado ao estado do easy handle e o passa para o OpenSSL sem adquirir uma referência de propriedade. Se o easy handle for destruído prematuramente, o contexto é liberado enquanto a conexão ativa mantém um ponteiro pendente, o que pode ser acionado durante operações de E/S subsequentes ou operações pós-handshake.

Existe um problema onde o libcurl falha ao aplicar o pinning de chave pública quando o `CURLOPT PINNEDPUBLICKEY` é utilizado em conjunto com opções que desativam a verificação padrão de pares, especificamente `CURLOPT SSL VERIFYPEER = 0` e `CURLOPT SSL VERIFYHOST = 0`. Isso permite que conexões não autenticadas sejam bem-sucedidas sem a apresentação de um certificado do servidor, ignorando a verificação de pinning.

Uma falha no libcurl faz com que o software reutilize incorretamente uma configuração de conexão HTTPS existente para um hostname específico, mesmo quando é utilizada uma configuração de Native CA Store (`CURLSSLOPT NATIVE CA`) diferente daquela usada no momento da criação da conexão. O Native CA Store é um mecanismo que permite ao curl utilizar o repositório de certificados integrado do sistema operacional para verificar a autenticidade de certificados SSL/TLS.

Existe uma falha onde o uso de um tab horizontal (código ASCII 9) em vez de um espaço (código ASCII 32) imediatamente antes do atributo `Secure` em um cabeçalho `Set-Cookie:` faz com que o software armazene o cookie sem a flag Secure. Isso pode resultar no envio do cookie via HTTP em texto simples em requisições subsequentes ao mesmo host.

Ao utilizar o backend wolfSSL com o cache de CA habilitado, existe uma falha onde o callback `CURLOPT SSL CTX FUNCTION` pode ser sobrescrito. Se este callback substituir o armazenamento de confiança (trust store), o libcurl pode reinstalar silenciosamente o armazenamento em cache após o retorno do callback. Isso resulta em um cenário onde um certificado confiado pelo armazenamento em cache é aceito incorretamente, mesmo que tenha sido rejeitado pelo armazenamento selecionado via callback.

O manipulador RTSP na biblioteca `libalias` reescreve pacotes de saída em um buffer de pilha de comprimento fixo sem verificar se os dados reescritos cabem no buffer ou se o resultado cabe novamente no pacote original. Um invasor remoto que envie tráfego RTSP especialmente manipulado de dentro de um gateway NAT usando `libalias` pode causar um estouro de buffer de pilha. Isso pode permitir a execução remota de código no kernel ao usar NAT `ipfw(4)`, ou no processo `natd(8)`, que geralmente opera com privilégios de root.

Nome do Software Vulnerável e Versões Afetadas OpenSSL FIPS Module versão 3.6 Descrição Aplicações que utilizam criptografia ou descriptografia AES-CFB128 em sistemas equipados com AVX-512 e suporte VAES podem experimentar uma leitura fora dos limites de até 15 bytes ao lidar com blocos de cifra parciais. Isso pode levar a uma negação de serviço se o buffer de entrada estiver em um limite de página de memória e a página subsequente não estiver mapeada. O problema ocorre apenas ao processar blocos parciais e em sistemas x86-64 com suporte a instruções AVX-512 e VAES. Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

O software apresenta uma vulnerabilidade de travessia de caminho no roteamento do Servidor de Acesso Remoto para o endpoint autenticado ''/download''. O parâmetro de consulta `file` é combinado em um caminho de sistema de arquivos sem validação adequada, podendo permitir que um atacante baseado em rede solicite arquivos fora do diretório pretendido. O impacto é limitado pelas funcionalidades de segurança do Android, restringindo normalmente o acesso ao armazenamento interno do aplicativo e ao armazenamento externo específico do aplicativo.

O ESF-IDF, o Framework de Desenvolvimento para Internet das Coisas (IoT) da Espressif, contém uma falha na função `avrc vendor msg()` dentro da pilha AVRCP do BlueDroid. A função valida o tamanho do buffer alocado usando `AVRC MIN CMD LEN` (20 bytes), mas os dados de cabeçalho fixo escritos antes do payload do vendor excedem esse valor, totalizando 29 bytes antes de `p msg->p vendor data` ser copiado. Essa discrepância pode levar a uma escrita fora dos limites quando `vendor len` se aproxima do limite do buffer, potencialmente causando corrupção de memória, travamentos ou comportamento indefinido. O overflow pode ser maior quando as asserções estiverem desativadas.