下列弱點已在 curl 中修正：

- IMAP、POP3 和 SMTP URL 清理弱點 (CVE-2012-0036)

- 停用 SSL_OP_DONT_INSERT_EMPTY_FRAGMENTS (CVE-2011-3389)

- 停用舊版 openssl 的 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 選項 (CVE-2010-4180)

- 修正 IMAP、POP3 和 SMTP URL 清理 (bnc#740452、CVE-2012-0036)

- 在針對較舊 OpenSSL 版本構建時，停用 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 選項 (CVE-2010-4180)。

- 請勿啟用 SSL_OP_DONT_INSERT_EMPTY_FRAGMENTS (bnc#742306、CVE-2011-3389)。

此 curl 更新可修正下列安全性問題：

- 不設定 SSL_OP_ALL 以避免可能的 DTLS 探查攻擊。(CVE-2012-0036)

遠端主機受到 GLSA-201203-02 中所述的弱點影響 (cURL：多個弱點)

    在 cURL 中發現多個弱點：
      啟用 zlib 時，傳送至應用程式進行自動解壓縮的資料量不受限制 (CVE-2010-0734)。
      執行 GSSAPI 驗證時，一律使用認證委派 (CVE-2011-2192)。
      啟用 SSL 時，cURL 未正確停用可減輕 SSL 和 TLS 通訊協定之資訊洩漏弱點的 OpenSSL 因應措施 (CVE-2011-3389)。
      libcurl 未正確驗證 IMAP、POP3 或 SMTP URL 中逸出控制字元的檔案路徑 (CVE-2012-0036)。
  影響：

    遠端攻擊者可引誘使用者或自動化處理程序使用 cURL 開啟特製的檔案或 URL，可能導致遠端執行任意程式碼、拒絕服務情形、洩漏敏感資訊或透過 IMAP、POP3 或 SMTP 執行不需要的動作。此外，遠端伺服器可透過 GSSAPI 要求模擬用戶端。
  因應措施：

    目前尚無已知的因應措施。

遠端主機執行的 Mac OS X 10.7.x 版本比 10.7.4 版舊。此更新版本包含適用於下列元件的多項安全性相關修正：

- Login Window
 - Bluetooth
 - curl
 - HFS
 - Kernel
 - libarchive
 - libsecurity
 - libxml
 - LoginUIFramework
 - PHP
 - Quartz Composer
 - QuickTime
 - Ruby
 - Security Framework
 - Time Machine
 - X11

請注意，此更新可解決最新的 FileVault 密碼弱點：如果在系統升級至 Lion 後使用舊版 FileVault 加密使用者目錄，使用者密碼會以純文字型式儲存至全系統的除錯記錄。然而，由於修補程式僅能限制後續洩漏，如果使用者資料夾在升級至 OS X 10.7 前後是使用舊版 FileVault 加密，我們仍建議系統上的所有使用者變更密碼。

拒絕包含錯誤資料的 URL (CVE-2012-0036)

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 curl 中發現多個弱點並已更正：

為將 OpenSSL 用於 SSL/TLS 層而構建 curl 時，其容易受到 SSL CBC IV 弱點的影響。已新增一個可減輕問題的因應措施 (CVE-2011-3389)。

針對 URL 中使用內嵌控制字元或百分比編碼的特定通訊協定，curl 容易遭受資料插入攻擊 (CVE-2012-0036)。

已修補更新版套件，以更正這些問題。

根據 web 伺服器的標題，遠端主機上託管的 HP System Management Homepage (SMH) 比 7.1.1 舊，因此據稱受到以下弱點影響：

- 隨附的 libxml2 程式庫版本包含多個弱點。(CVE-2011-1944、CVE-2011-2821、CVE-2011-2834)

- 隨附的 PHP 版本存有多個弱點。(CVE-2011-3379、CVE-2011-4153、CVE-2011-4885、CVE-2012-1823、CVE-2012-0057、CVE-2012-0830)

- 隨附的 Apache HTTP Server 版本存有多個弱點。(CVE-2011-3607、CVE-2011-4317、CVE-2011-4415、CVE-2012-0021、CVE-2012-0031、CVE-2012-0053)

- 內嵌 RoundCube Webmail 版本的「include/iniset.php」指令碼存在一個問題，可導致拒絕服務。(CVE-2011-4078)

- 隨附的 OpenSSL 版本存有多個弱點。(CVE-2011-4108、CVE-2011-4576、CVE-2011-4577、CVE-2011-4619、CVE-2012-0027、CVE-2012-1165)

- 隨附的 curl 和 libcurl 版本未在擷取 URL 的路徑名稱時妥善考量特殊字元。(CVE-2012-0036) 
 - 不明的表單欄位沒有關閉自動完成屬性，導致遠端攻擊者更容易運用無人看管的工作站取得存取權。(CVE-2012-2012)

- 存在不明弱點，可導致遠端攻擊者拒絕服務，或取得敏感資訊或修改資料。
 (CVE-2012-2013)

- 存在與不當輸入驗證相關的不明弱點。(CVE-2012-2014)

- 不明弱點允許未經驗證的遠端使用者獲得權限並取得敏感資訊。(CVE-2012-2015)

- 不明弱點允許本機使用者透過未知向量取得敏感資訊。
 (CVE-2012-2016)

Dan Fandrich 發現，curl 未正確處理包含內嵌或百分比編碼控制字元的 URL。如果使用者或自動化系統遭誘騙而處理特製的 URL，便可插入任意資料。

在 URL 傳輸程式庫 cURL 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2011-3389 此更新可針對 'BEAST' 攻擊啟用 OpenSSL 因應措施。如需其他資訊，請參閱 cURL 公告

- CVE-2012-0036 Dan Fandrich 發現在擷取 URL 的檔案路徑部分時，cURL 執行的清理不足。

ID	名稱	產品	系列	已發布	已更新	嚴重性
75806	openSUSE 安全性更新：curl (openSUSE-SU-2012:0229-1) (BEAST)	Nessus	SuSE Local Security Checks	2014/6/13	2022/12/5	high
74807	openSUSE 安全性更新：curl (openSUSE-2012-76) (BEAST)	Nessus	SuSE Local Security Checks	2014/6/13	2022/12/5	high
57842	SuSE 10 安全性更新：curl (ZYPP 修補程式編號 7937)	Nessus	SuSE Local Security Checks	2012/2/6	2021/1/19	high
58212	GLSA-201203-02：cURL：多個弱點 (BEAST)	Nessus	Gentoo Local Security Checks	2012/3/6	2022/12/5	high
59066	Mac OS X 10.7.x < 10.7.4 多個弱點 (BEAST)	Nessus	MacOS X Local Security Checks	2012/5/10	2022/12/5	critical
57719	Fedora 16：curl-7.21.7-6.fc16 (2012-0894)	Nessus	Fedora Local Security Checks	2012/1/30	2021/1/11	high
58759	Mandriva Linux 安全性公告：curl (MDVSA-2012:058)	Nessus	Mandriva Local Security Checks	2012/4/16	2022/12/5	high
59851	HP System Management Homepage < 7.1.1 多個弱點	Nessus	Web Servers	2012/7/5	2022/4/11	critical
57897	Fedora 15：curl-7.21.3-13.fc15 (2012-0888)	Nessus	Fedora Local Security Checks	2012/2/13	2021/1/11	high
57689	Ubuntu 10.10 / 11.04 / 11.10：curl 弱點 (USN-1346-1)	Nessus	Ubuntu Local Security Checks	2012/1/25	2019/9/19	high
57738	Debian DSA-2398-2：curl - 數個弱點 (BEAST)	Nessus	Debian Local Security Checks	2012/1/31	2022/12/5	high

偵測

搜尋 Plugin

high

high

high

high

critical

high

high

critical

high

high

high