GLSA-201703-04：cURL：憑證驗證錯誤

medium Nessus Plugin ID 99011

語系：

概要

遠端 Gentoo 主機缺少一個或多個與安全性相關的修補程式。

說明

遠端主機受到 GLSA-201703-04 中所述的弱點影響(cURL：憑證驗證錯誤)

cURL 和連結 libcurl 支援「OCSP 裝訂」的應用程式，又名 TLS 憑證狀態要求延伸模組 (使用 CURLOPT_SSL_VERIFYSTATUS 選項)。告知 cURL 使用此功能時，其會使用該 TLS 延伸模組來要求伺服器憑證有效性的新證據。若伺服器不支援該延伸模組，或未能提供所述證據，cURL 就會傳回錯誤。
由於編碼錯誤之故，檢查測試成功或失敗的程式碼最後總會認為有有效的證據，即使沒有有效的證據，或伺服器不支援有問題的 TLS 延伸模組時亦然。
影響：

由於有此錯誤，當伺服器的憑證失效，或遭誤導為伺服器的狀況比實情好時，使用者可能無法察覺。
因應措施：

目前尚無已知的因應措施。