CVE-2022-32206

Versões do curl anteriores à 7.84.0

O problema diz respeito ao suporte a algoritmos de compressão HTTP “encadeados” no curl, nos quais uma resposta do servidor pode ser comprimida várias vezes com algoritmos diferentes. Um servidor malicioso pode explorar essa vulnerabilidade inserindo um número praticamente ilimitado de etapas de compressão, levando a uma “bomba de malloc” e fazendo com que o curl gaste enormes quantidades de memória heap alocada ou retorne erros de memória insuficiente. Isso pode resultar em uma condição de negação de serviço.

Para versões anteriores à 7.84.0, atualize para a versão 7.84.0 do curl para resolver o problema. Como solução alternativa temporária, considere restringir o uso dos algoritmos de compressão HTTP “encadeados” para minimizar o risco de exploração. Evite conectar-se a servidores especialmente criados que possam inserir um grande número de etapas de compressão.