來自 Red Hat 安全性公告 2014:0561：

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 curl 套件，可修正兩個安全性問題和數個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

cURL 提供 libcurl 程式庫和一個命令行工具，以供使用多種通訊協定從伺服器下載檔案，包括 HTTP、FTP 和 LDAP。

據發現，libcurl 在使用下列其中一種通訊協定時，可能會以不正確的方式重複使用應有不同或不需驗證認證的現有連線：具有 NTLM 驗證、 LDAP(S)、SCP 或 SFTP 的 HTTP(S)。如果使用 libcurl 程式庫的應用程式透過特定驗證認證連線至遠端伺服器，則此瑕疵可導致其他要求使用這些相同的認證。(CVE-2014-0015、CVE-2014-0138)

Red Hat 要感謝 cURL 專案報告這些問題。上游確認 Paras Sethia 為 CVE-2014-0015 的原始報告者，確認 Yehezkel Horowitz 發現此問題的安全性影響，以及確認 Steve Holme 為 CVE-2014-0138 的原始報告者。

此更新也可修正下列錯誤：

* 之前，libcurl 程式庫會關閉網路通訊端，而沒有先終止利用該通訊端的 SSL 連線。這會導致關閉後寫入，進而洩漏由 SSL 程式庫動態配置的記憶體。已在 libcurl 中套用上游修補程式，以修正此錯誤。因此，不會再發生關閉後寫入，且 SSL 程式庫不會再洩漏記憶體。(BZ#1092479)

* 之前，libcurl 程式庫並未實作非封鎖 SSL 交握，而對基於 libcurl 多 API 的應用程式產生負面的效能影響。為修正此錯誤，非封鎖 SSL 交握已由 libcurl 實作。透過此更新，libcurl 的多 API 只要無法從基底網路通訊端讀取或寫入至基底網路通訊端時，就會立刻將控制傳回應用程式。(BZ#1092480)

* 之前，curl 套件無法從來源重建，因為在構建期間執行的上游測試套件中的 Cookie 過期。已經套用上游修補程式，展延該 Cookie 的到期日，所以現在又可從來源重新構建套件。(BZ#1092486)

* 之前，只要驗證方法是由伺服器提供，libcurl 程式庫就會嘗試利用 Kerberos 驗證。當伺服器提供多個驗證方法，而 Kerberos 並非是選中的那個時，這就會造成問題。已在 libcurl 中套用上游修補程式，以修正此錯誤。現在如果未選取其他驗證方法，libcurl 就不會再利用 Kerberos 驗證。(BZ#1096797)

建議所有 curl 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。必須重新啟動使用 libcurl 的所有執行中應用程式，此更新才會生效。

偵測

Oracle Linux 6：curl (ELSA-2014-0561)

medium Nessus Plugin ID 74203

找不到變更記錄