BDU:2023-07689

Опубликовано: 23 фев. 2023

Источник: fstec

CVSS3: 6.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость реализации механизмов "цепочной" компрессии HTTP утилиты командной строки cURL связана с возможностью осуществить бесконечное число шагов декомпрессии HTTP-ответов сервера, что приведет к бесконтрольному потреблению памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

ООО «Ред Софт»

ООО «РусБИТех-Астра»

АО «ИВК»

NetApp Inc.

Fedora Project

АО «НППКТ»

Daniel Stenberg

ООО «Открытая мобильная платформа»

АО «Лаборатория Касперского»

Наименование ПО

Debian GNU/Linux

РЕД ОС

Astra Linux Special Edition

Альт 8 СП

Active IQ Unified Manager for VMware vSphere

Fedora

NetApp HCI Baseboard Management Controller H300S

NetApp HCI Baseboard Management Controller H500S

NetApp HCI Baseboard Management Controller H700S

NetApp HCI Baseboard Management Controller H410S

ОСОН ОСнова Оnyx

NetApp SolidFire & HCI Storage Node

cURL

NetApp SolidFire & HCI Management Node

Clustered Data ONTAP Antivirus Connector

ОС Аврора

Kaspersky Endpoint Security 10 для Linux

Kaspersky Security для Microsoft Exchange Server

Версия ПО

9 (Debian GNU/Linux)

10 (Debian GNU/Linux)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

- (Альт 8 СП)

- (Active IQ Unified Manager for VMware vSphere)

36 (Fedora)

- (NetApp HCI Baseboard Management Controller H300S)

- (NetApp HCI Baseboard Management Controller H500S)

- (NetApp HCI Baseboard Management Controller H700S)

- (NetApp HCI Baseboard Management Controller H410S)

до 2.8 (ОСОН ОСнова Оnyx)

- (NetApp SolidFire & HCI Storage Node)

от 7.57.0 до 7.88.0 (cURL)

- (NetApp SolidFire & HCI Management Node)

9 (Clustered Data ONTAP Antivirus Connector)

до 4.0.2.249 включительно (ОС Аврора)

10.1.2.329 (Kaspersky Endpoint Security 10 для Linux)

9.7.364.0 (Kaspersky Security для Microsoft Exchange Server)

Тип ПО

Операционная система

Прикладное ПО информационных систем

ПО программно-аппаратного средства АСУ ТП

Программное средство защиты

Средство защиты

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Сообщество свободного программного обеспечения Debian GNU/Linux 10

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО «ИВК» Альт 8 СП -

Fedora Project Fedora 36

АО «НППКТ» ОСОН ОСнова Оnyx до 2.8

ООО «Открытая мобильная платформа» ОС Аврора до 4.0.2.249 включительно

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для CURL:

https://curl.se/docs/CVE-2023-23916.html

Для Debian GNU/Linux:

https://www.debian.org/security/2023/dsa-5365

Для программных продуктов NetApp Inc:

https://security.netapp.com/advisory/ntap-20230309-0006/

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/BQKE6TXYDHOTFHLTBZ5X73GTKI7II5KO/

Для ОС Аврора:

https://cve.omp.ru/bb23402

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения curl до версии 7.88.1-10+deb12u1

Для ОС Astra Linux Special Edition 1.7:

обновить пакет curl до 7.64.0-4+deb10u5+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для KESL-Эльбрус:

Обновление программного обеспечения до актуальной версии

Для Kaspersky Security для Microsoft Exchange Server:

При настройке пользовательского адреса источника обновлений необходимо указывать сетевую или локальную папку. При использовании в качестве источника обновлений публичных серверов "Лаборатории Касперского" уязвимости неприменимы.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-23916
CVE

EPSS

Процентиль: 78%

0.01742

Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ROS-20250923-42

CVSS3: 6.5

redos

около 1 года назад

Множественные уязвимости libcurl

ROS-20250923-22

CVSS3: 6.5

redos

около 1 года назад

Множественные уязвимости curl

ALT-PU-2023-1292

CVSS3: 9.1

altlinux

больше 3 лет назад

ALT-PU-2023-1292: package `curl` update to version 7.88.0-alt1

ALT-PU-2023-1252

CVSS3: 9.1

altlinux

больше 3 лет назад

ALT-PU-2023-1252: package `curl` update to version 7.88.0-alt1

CVE-2023-23916

CVSS3: 6.5

ubuntu

больше 3 лет назад

An allocation of resources without limits or throttling vulnerability exists in curl <v7.88.0 based on the "chained" HTTP compression algorithms, meaning that a server response can be compressed multiple times and potentially with differentalgorithms. The number of acceptable "links" in this "decompression chain" wascapped, but the cap was implemented on a per-header basis allowing a maliciousserver to insert a virtually unlimited number of compression steps simply byusing many headers. The use of such a decompression chain could result in a "malloc bomb", making curl end up spending enormous amounts of allocated heap memory, or trying to and returning out of memory errors.

EPSS

Процентиль: 78%

0.01742

Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2