CVE-2024-8096

Nome do software vulnerável e versões afetadas:

versões do curl anteriores à 8.10.0

Descrição:

O problema está relacionado à validação inadequada de certificados de servidor ao usar a extensão TLS Certificate Status Request, também conhecida como OCSP stapling. Se o status retornado relatar um erro diferente de “revogado”, como “não autorizado”, ele não é tratado como um certificado inválido. Isso poderia potencialmente permitir ataques man-in-the-middle devido à validação inadequada.

Recomendações:

Para versões do curl anteriores à 8.10.0, atualize para a versão 8.10.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere desativar o uso do OCSP stapling até que um patch esteja disponível. Restrinja o acesso a dados confidenciais e minimize o risco de exploração evitando o uso de versões vulneráveis do curl para operações críticas.