CVE-2022-43551

Versões do curl anteriores à 7.87.0

Versões do MySQL Server 5.7.41 e anteriores, 8.0.32 e anteriores

Existe uma vulnerabilidade na verificação HSTS do curl que poderia ser contornada para induzi-lo a continuar usando HTTP. O mecanismo HSTS pode ser contornado se o nome do host na URL fornecida utilizar inicialmente caracteres IDN que são substituídos por seus equivalentes ASCII como parte da conversão IDN. Isso poderia permitir que um invasor remoto obtivesse acesso não autorizado a informações protegidas. O problema está relacionado ao armazenamento de informações codificadas em IDN, mas à busca por elas descodificadas, levando a uma transferência de texto não criptografado em solicitações subsequentes.

Para versões do curl anteriores à 7.87.0, atualize para a versão 7.87.0 ou posterior para resolver o problema.

Para versões do MySQL Server 5.7.41 e anteriores, 8.0.32 e anteriores, atualize para uma versão que inclua a correção para esta vulnerabilidade.

Como solução alternativa temporária, considere desativar o suporte a HSTS no curl até que um patch esteja disponível.

Restrinja o acesso à funcionalidade vulnerável do curl para minimizar o risco de exploração.