FreeBSD：cURL -- URL 要求插入弱點 (caa98ffd-0a92-40d0-b234-fd79b429157e)

medium Nessus Plugin ID 80453

語系：

概要

遠端 FreeBSD 主機缺少安全性相關更新。

說明

cURL 報告：

libcurl 透過 HTTP Proxy 傳送要求至伺服器時，會將整個 URL 複製到要求內再進行傳送。如果指定的 URL 包含換行字元和歸位字元，這些字元也會傳送至 Proxy，進而允許程式傳送內嵌在 URL 中的獨立 HTTP 要求。多個程式允許某些類型的外部來源設定 URL，或提供部分 URL 片段進行詢問，若來自使用者的 URL 未確實移除乾淨，此瑕疵便可允許惡意使用者以不應執行的方式提出其他要求，或將要求標頭插入非程式預定提出的要求。目前尚未發現此瑕疵遭到惡意利用的案例。