russian/security/2018/dsa-4136.wml


1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47

#use wml::debian::translation-check translation="15c5d96a3bbe0a64e70a1cd32455e8859bee30ef" maintainer="Lev Lamberov"
<define-tag description>обновление безопасности</define-tag>
<define-tag moreinfo>
<p>В cURL, библиотеке передачи URL, были обнаружены многочисленные уязвимости.</p>

<ul>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-1000120">CVE-2018-1000120</a>

    <p>Дай Фан Тан обнаружил, что curl может по ошибке записать нулевой байт за
    пределы выделенного буфера памяти, когда curl работает по FTP URL при
    выборе настройки по отправке только одной команды CWD в случае, если часть каталога
    URL содержит последовательность &ldquo;&#37;00&rdquo;.</p></li>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-1000121">CVE-2018-1000121</a>

    <p>Дарио Вайзер обнаружил, что curl может выполнять разыменование близкого к NULL
    адреса при получении LDAP URL из-за того, что функция ldap_get_attribute_ber()
    возвращает LDAP_SUCCESS и NULL-указатель. Вредоносный сервер может
    вызвать аварийную остановку использующего libcurl приложения, разрешающего LDAP URL,
    или разрешающего перенаправления на LDAP URL.</p></li>

<li><a href="https://security-tracker.debian.org/tracker/CVE-2018-1000122">CVE-2018-1000122</a>

    <p>Сотрудники OSS-fuzz при помощи Макса Даймонда обнаружили, что
    curl может скопировать данные за пределами выделенного буфера
    динамической памяти при запросе передачи RTSP URL.</p></li>

</ul>

<p>В предыдущем стабильном выпуске (jessie) эти проблемы были исправлены
в версии 7.38.0-4+deb8u10.</p>

<p>В стабильном выпуске (stretch) эти проблемы были исправлены в
версии 7.52.1-5+deb9u5.</p>

<p>Рекомендуется обновить пакеты curl.</p>

<p>С подробным статусом поддержки безопасности curl можно ознакомиться на
соответствующей странице отслеживания безопасности по адресу
<a href="https://security-tracker.debian.org/tracker/curl">\
https://security-tracker.debian.org/tracker/curl</a></p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2018/dsa-4136.data"
# $Id$