CVE-2021-22890

Versões do curl de 7.63.0 a 7.75.0

O problema está relacionado ao tratamento incorreto de tickets de sessão TLS 1.3, o que pode permitir que um proxy HTTPS malicioso execute um ataque man-in-the-middle (MITM). Ao usar um proxy HTTPS e TLS 1.3, o libcurl pode confundir os tickets de sessão que chegam do proxy HTTPS, mas funcionar como se eles tivessem chegado do servidor remoto, levando a um “atalho” incorreto no handshake do host. Isso pode permitir que o proxy HTTPS induza o libcurl a usar o ticket de sessão incorreto para o host, contornando assim a verificação do certificado TLS do servidor e tornando possível a realização de um ataque MITM sem ser percebido. Um proxy HTTPS malicioso precisa fornecer um certificado que o curl aceite para o servidor MITMed para que o ataque funcione, a menos que o curl tenha sido configurado para ignorar a verificação do certificado do servidor.

Para as versões 7.63.0 a 7.75.0 do curl, considere desativar o uso de tickets de sessão TLS 1.3 como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao proxy HTTPS para minimizar o risco de exploração. Evite usar o parâmetro session ticket no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.