此 curl 更新可修正下列問題：

- CVE-2016-0755：libcurl 會在未正確確定已使用為此傳輸設定的相同認證來驗證連線的情況下，重複使用 NTLM 驗證的代理伺服器連線 (bsc#962983)

下列非安全性錯誤已修正：

- bsc#936676：在構建時可能無法正確偵測 secure_getenv 或 __secure_getenv

下列追蹤的錯誤只會影響測試套件：

- bsc#962996：測試 46 中過期的 Cookie 造成測試失敗

- bsc#934333：Curl 測試套件過去未執行，現在已在構建期間啟用

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

- 重複使用代理伺服器連線時比對認證 (CVE-2016-0755)

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Isaac Boukris 發現，cURL (一種 URL 傳輸程式庫) 會在未正確確定已使用為新傳輸設定的相同認證來驗證連線的情況下，重複使用 NTLM 驗證的代理伺服器連線。這可能會導致透過已驗證為不同使用者的連線來傳送 HTTP 要求。

現已提供適用於 Slackware 13.0、13.1、13.37、14.0、14.1 和最新版本的新 curl 套件，可修正一個安全性問題。

libcurl 7.47.0 版之前 lib/url.c 中的 ConnectionExists 函式未正確重複使用經 NTLM 驗證的代理伺服器連線，其可允許遠端攻擊者透過要求以其他使用者的身分驗證；此問題與 CVE-2014-0015 類似。(CVE-2016-0755)

此 curl 更新可修正下列問題：

- CVE-2016-0755：libcurl 會在未正確確定已使用為此傳輸設定的相同認證來驗證連線的情況下，重複使用 NTLM 驗證的代理伺服器連線 (bsc#962983)

下列非安全性錯誤已修正：

- boo#936676：在構建時可能無法正確偵測 secure_getenv 或 __secure_getenv

下列追蹤的錯誤只會影響測試套件：

- boo#962996：測試 46 中過期的 Cookie 造成測試失敗

- boo#934333：Curl 測試套件過去未執行，現在已在構建期間啟用

此更新是從 SUSE:SLE-12:Update 更新專案匯入。

7.47.0 更新，修正多種 CVE

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機執行的 Mac OS X 是 10.10.5 之前的版本、10.11.6 之前的 10.11.x 版，或者不是 macOS 10.12 版。因此受到下列元件中的多個弱點影響：- apache - apache_mod_php - Apple HSSPI 支援 - AppleEFIRuntime - AppleMobileFileIntegrity - AppleUCC - 應用程式防火牆 - ATS - 音訊 - 藍牙 - cd9660 - CFNetwork - CommonCrypto - CoreCrypto - CoreDisplay - curl - 日期與時間偏好窗格 - DiskArbitration - 檔案書籤 - FontParser - IDS - 連線 - ImageIO - Intel 圖形驅動程式 - IOAcceleratorFamily - IOThunderboltFamily - Kerberos v5 PAM 模組 - 核心 - libarchive - libxml2 - libxpc - libxslt - mDNSResponder - NSSecureTextField - Perl - S2 相機 - 安全性 - 終端機 - WindowServer 請注意，成功惡意利用多數嚴重問題將導致任意程式碼執行。

cURL 專案報告：

libcurl 會在未正確確定已使用為此傳輸設定的相同認證來驗證連線的情況下，重複使用 NTLM 驗證的代理伺服器連線。

此 curl 更新可修正下列問題：

- CVE-2016-0755：libcurl 會在未正確確定已使用為此傳輸設定的相同認證來驗證連線的情況下，重複使用 NTLM 驗證的代理伺服器連線 (bsc#962983)

下列非安全性錯誤已修正：

- bsc#926511：檢查 FTP 傳輸期間控制連線的錯誤

下列追蹤的錯誤只會影響測試套件：

- bsc#962996：測試 46 中過期的 Cookie 造成測試失敗

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機受到 GLSA-201701-47 中所述的弱點影響 (cURL：多個弱點) 在 cURL 中發現多個弱點。如需詳細資料，請檢閱提及的 CVE 識別碼和錯誤報告。影響：遠端攻擊者可發動攔截式攻擊取得敏感資訊、造成拒絕服務或執行任意程式碼。因應措施：目前尚無已知的因應措施。

Isaac Boukris 發現，隨後連線至相同主機時，curl 可錯誤地重複使用 NTLM 代理伺服器認證。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此 curl 更新可修正下列問題：

- CVE-2016-0755：libcurl 會在未正確確定已使用為此傳輸設定的相同認證來驗證連線的情況下，重複使用 NTLM 驗證的代理伺服器連線 (bsc#962983)

下列追蹤的錯誤只會影響測試套件：

- bsc#962996：測試 46 中過期的 Cookie 造成測試失敗

根據安裝的 curl 套件版本，遠端主機上安裝的 EulerOS 會受到下列弱點影響：- 在 curl 7.53.1 的 tool_writeout.c 中，ourWriteOut 函式可讓實際位置靠近的攻擊者在使用以 '%' 字元結尾的 --write-out 引數期間讀取工作站畫面，藉此在有機會的情況下，從處理程序記憶體取得敏感資訊，進而導致堆積型緩衝區過度讀取。(CVE-2017-7407) 在 lbcurl 7.47.0 之前的 lib/url.c 中的 ConnectionExists 函式未適當重複使用 NTLM 驗證代理連線，可能允許遠端攻擊者會透過要求而將其驗證為其它使用者，這是與 CVE-2014-0015 類似的問題。(CVE-2016-0755) - Curl 7.14.1 到 7.61.1 版本在 tool_msgs.c:voutf() 函式中易受到堆積型緩衝區過度讀取攻擊，進而可能導致資訊洩露和拒絕服務。(CVE-2018-16842) 請注意，Tenable Network Security 已直接從 EulerOS 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
88621	SUSE SLED12 / SLES12 安全性更新：curl (SUSE-SU-2016:0340-1)	Nessus	SuSE Local Security Checks	2016/2/8	2021/1/6	high
89524	Fedora 22：curl-7.40.0-8.fc22 (2016-3fa315a5dd)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
88424	Debian DSA-3455-1：curl - 安全性更新	Nessus	Debian Local Security Checks	2016/1/28	2021/1/11	high
88625	Slackware 13.0 / 13.1 / 13.37 / 14.0 / 14.1 / 最新版本：curl (SSA：2016-039-01)	Nessus	Slackware Local Security Checks	2016/2/9	2021/1/14	high
88664	Amazon Linux AMI：curl (ALAS-2016-652)	Nessus	Amazon Linux Local Security Checks	2016/2/10	2018/4/18	high
88608	openSUSE 安全性更新：curl (openSUSE-2016-152)	Nessus	SuSE Local Security Checks	2016/2/8	2021/1/19	high
89546	Fedora 23：mingw-curl-7.47.0-1.fc23 (2016-55137a3adb)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
93685	macOS < 10.12 多種弱點	Nessus	MacOS X Local Security Checks	2016/9/23	2019/6/19	critical
88476	FreeBSD：curl -- 未檢查認證 (8b27f1bc-c509-11e5-a95f-b499baebfeaf)	Nessus	FreeBSD Local Security Checks	2016/1/29	2021/1/4	high
88622	SUSE SLED11 / SLES11 安全性更新：curl (SUSE-SU-2016:0347-1)	Nessus	SuSE Local Security Checks	2016/2/8	2021/1/6	high
89551	Fedora 22：mingw-curl-7.47.0-1.fc22 (2016-5a141de5d9)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
96644	GLSA-201701-47：cURL：多個弱點	Nessus	Gentoo Local Security Checks	2017/1/20	2021/1/11	critical
88457	Ubuntu 14.04 LTS：curl 弱點 (USN-2882-1)	Nessus	Ubuntu Local Security Checks	2016/1/28	2023/10/23	high
88609	openSUSE 安全性更新：curl (openSUSE-2016-153)	Nessus	SuSE Local Security Checks	2016/2/8	2021/1/19	high
88634	openSUSE 安全性更新：curl (openSUSE-2016-170)	Nessus	SuSE Local Security Checks	2016/2/9	2021/1/19	high
89548	Fedora 23：curl-7.43.0-5.fc23 (2016-57bebab3b6)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
126292	EulerOS 2.0 SP5：curl (EulerOS-SA-2019-1665)	Nessus	Huawei Local Security Checks	2019/6/27	2024/5/14	critical

偵測

搜尋 Plugin

high

high

high

high

high

high

high

critical

high

high

high

critical

high

high

high

high

critical