Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 curl
medium Nessus Plugin ID 74208
語系：
概要
遠端 Scientific Linux 主機缺少一個或多個安全性更新。說明
據發現，libcurl 在使用下列其中一種通訊協定時，可能會以不正確的方式重複使用應有不同或不需驗證認證的現有連線：具有 NTLM 驗證、 LDAP(S)、SCP 或 SFTP 的 HTTP(S)。如果使用 libcurl 程式庫的應用程式透過特定驗證認證連線至遠端伺服器，則此瑕疵可導致其他要求使用這些相同的認證。(CVE-2014-0015、CVE-2014-0138)此更新也可修正下列錯誤：
- 之前，libcurl 程式庫會關閉網路通訊端，而沒有先終止利用該通訊端的 SSL 連線。這會導致關閉後寫入，進而洩漏由 SSL 程式庫動態配置的記憶體。已在 libcurl 中套用上游修補程式，以修正此錯誤。因此，不會再發生關閉後寫入，且 SSL 程式庫不會再洩漏記憶體。
- 之前，libcurl 程式庫並未實作非封鎖 SSL 交握，而對基於 libcurl 多 API 的應用程式產生負面的效能影響。為修正此錯誤，非封鎖 SSL 交握已由 libcurl 實作。透過此更新，libcurl 的多 API 只要無法從基底網路通訊端讀取或寫入至基底網路通訊端時，就會立刻將控制傳回應用程式。
- 之前，curl 套件無法從來源重建，因為在構建期間執行的上游測試套件中的 Cookie 過期。已經套用上游修補程式，展延該 Cookie 的到期日，所以現在又可從來源重新構建套件。
- 之前，只要驗證方法是由伺服器提供，libcurl 程式庫就會嘗試利用 Kerberos 驗證。當伺服器提供多個驗證方法，而 Kerberos 並非是選中的那個時，這就會造成問題。已在 libcurl 中套用上游修補程式，以修正此錯誤。現在如果未選取其他驗證方法，libcurl 就不會再利用 Kerberos 驗證。
必須重新啟動使用 libcurl 的所有執行中應用程式，此更新才會生效。
解決方案
更新受影響的套件。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 74208
檔案名稱: sl_20140527_curl_on_SL6_x.nasl
版本: 1.7
類型: local
代理程式: unix
已發布: 2014/5/28
已更新: 2021/1/14
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 4.2
CVSS v2
風險因素: Medium
基本分數: 6.4
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N
弱點資訊
CPE: p-cpe:/a:fermilab:scientific_linux:curl, p-cpe:/a:fermilab:scientific_linux:curl-debuginfo, p-cpe:/a:fermilab:scientific_linux:libcurl, p-cpe:/a:fermilab:scientific_linux:libcurl-devel, x-cpe:/o:fermilab:scientific_linux
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
修補程式發佈日期: 2014/5/27
弱點發布日期: 2014/2/2
參考資訊
CVE: CVE-2014-0015, CVE-2014-0138