CVE-2020-8286

Опубликовано: 14 дек. 2020

Источник: nvd

CVSS3: 7.5

CVSS2: 5

EPSS Низкий

Уязвимость некорректной проверки отзыва сертификатов в curl из-за недостаточной верификации ответа OCSP

Описание

В curl присутствует уязвимость, связанная с некорректной проверкой отзыва сертификатов. Это происходит из-за недостаточной верификации ответа OCSP (Online Certificate Status Protocol).

Затронутые версии ПО

curl с версии 7.41.0 по 7.73.0

Тип уязвимости

Некорректная проверка данных

Ссылки

http://seclists.org/fulldisclosure/2021/Apr/50
Mailing List
Third Party Advisory
http://seclists.org/fulldisclosure/2021/Apr/51
Mailing List
Third Party Advisory
http://seclists.org/fulldisclosure/2021/Apr/54
Mailing List
Third Party Advisory
https://cert-portal.siemens.com/productcert/pdf/ssa-200951.pdf
Third Party Advisory
https://cert-portal.siemens.com/productcert/pdf/ssa-389290.pdf
Patch
Third Party Advisory
https://curl.se/docs/CVE-2020-8286.html
Vendor Advisory
https://hackerone.com/reports/1048457
Exploit
Patch
Third Party Advisory
https://lists.debian.org/debian-lts-announce/2020/12/msg00029.html
Mailing List
Third Party Advisory
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/DAEHE2S2QLO4AO4MEEYL75NB7SAH5PSL/
Mailing List
Third Party Advisory
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/NZUVSQHN2ESHMJXNQ2Z7T2EELBB5HJXG/
Mailing List
Third Party Advisory
https://security.gentoo.org/glsa/202012-14
Third Party Advisory
https://security.netapp.com/advisory/ntap-20210122-0007/
Third Party Advisory
https://support.apple.com/kb/HT212325
Third Party Advisory
https://support.apple.com/kb/HT212326
Third Party Advisory
https://support.apple.com/kb/HT212327
Third Party Advisory
https://www.debian.org/security/2021/dsa-4881
Third Party Advisory
https://www.oracle.com//security-alerts/cpujul2021.html
Third Party Advisory
https://www.oracle.com/security-alerts/cpuApr2021.html
Third Party Advisory
https://www.oracle.com/security-alerts/cpuapr2022.html
Patch
Third Party Advisory
http://seclists.org/fulldisclosure/2021/Apr/50
Mailing List
Third Party Advisory

Уязвимые конфигурации

Конфигурация 1

cpe:2.3:a:haxx:libcurl:*:*:*:*:*:*:*:*

Версия от 7.41.0 (включая) до 7.74.0 (исключая)

Конфигурация 2

Одно из

cpe:2.3:o:fedoraproject:fedora:32:*:*:*:*:*:*:*

cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:*

Конфигурация 3

Одно из

cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:*

cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*

Конфигурация 4

Одно из

cpe:2.3:a:netapp:clustered_data_ontap:-:*:*:*:*:*:*:*

cpe:2.3:a:netapp:hci_management_node:-:*:*:*:*:*:*:*

cpe:2.3:a:netapp:solidfire:-:*:*:*:*:*:*:*

Конфигурация 5

Одновременно

cpe:2.3:o:netapp:hci_bootstrap_os:-:*:*:*:*:*:*:*

cpe:2.3:h:netapp:hci_compute_node:-:*:*:*:*:*:*:*

Конфигурация 6

Одновременно

cpe:2.3:o:netapp:hci_storage_node_firmware:-:*:*:*:*:*:*:*

cpe:2.3:h:netapp:hci_storage_node:-:*:*:*:*:*:*:*

Конфигурация 7

Одно из

cpe:2.3:o:apple:mac_os_x:*:*:*:*:*:*:*:*

Версия до 10.14.6 (исключая)

cpe:2.3:o:apple:mac_os_x:*:*:*:*:*:*:*:*

Версия от 10.15 (включая) до 10.15.7 (исключая)

cpe:2.3:o:apple:mac_os_x:10.14.6:-:*:*:*:*:*:*

cpe:2.3:o:apple:mac_os_x:10.14.6:security_update_2019-001:*:*:*:*:*:*

cpe:2.3:o:apple:mac_os_x:10.14.6:security_update_2019-002:*:*:*:*:*:*

cpe:2.3:o:apple:mac_os_x:10.14.6:security_update_2020-001:*:*:*:*:*:*

cpe:2.3:o:apple:mac_os_x:10.14.6:security_update_2020-002:*:*:*:*:*:*

cpe:2.3:o:apple:mac_os_x:10.14.6:security_update_2020-003:*:*:*:*:*:*

cpe:2.3:o:apple:mac_os_x:10.14.6:security_update_2020-004:*:*:*:*:*:*

cpe:2.3:o:apple:mac_os_x:10.14.6:security_update_2020-005:*:*:*:*:*:*

cpe:2.3:o:apple:mac_os_x:10.14.6:security_update_2020-006:*:*:*:*:*:*

cpe:2.3:o:apple:mac_os_x:10.14.6:security_update_2020-007:*:*:*:*:*:*

cpe:2.3:o:apple:mac_os_x:10.14.6:security_update_2021-001:*:*:*:*:*:*

cpe:2.3:o:apple:mac_os_x:10.15.7:-:*:*:*:*:*:*

cpe:2.3:o:apple:mac_os_x:10.15.7:security_update_2020-001:*:*:*:*:*:*

cpe:2.3:o:apple:mac_os_x:10.15.7:security_update_2021-001:*:*:*:*:*:*

cpe:2.3:o:apple:mac_os_x:10.15.7:supplemental_update:*:*:*:*:*:*

cpe:2.3:o:apple:macos:*:*:*:*:*:*:*:*

Версия от 11.0 (включая) до 11.3 (исключая)

Конфигурация 8

Одновременно

cpe:2.3:o:siemens:simatic_tim_1531_irc_firmware:*:*:*:*:*:*:*:*

Версия до 2.2 (включая)

cpe:2.3:h:siemens:simatic_tim_1531_irc:-:*:*:*:*:*:*:*

Конфигурация 9

cpe:2.3:a:siemens:sinec_infrastructure_network_services:*:*:*:*:*:*:*:*

Версия до 1.0.1.1 (исключая)

Конфигурация 10

Одно из

cpe:2.3:a:oracle:communications_billing_and_revenue_management:12.0.0.3.0:*:*:*:*:*:*:*

cpe:2.3:a:oracle:communications_cloud_native_core_policy:1.14.0:*:*:*:*:*:*:*

cpe:2.3:a:oracle:essbase:21.2:*:*:*:*:*:*:*

cpe:2.3:a:oracle:peoplesoft_enterprise_peopletools:8.58:*:*:*:*:*:*:*

Конфигурация 11

Одно из

cpe:2.3:a:splunk:universal_forwarder:*:*:*:*:*:*:*:*

Версия от 8.2.0 (включая) до 8.2.12 (исключая)

cpe:2.3:a:splunk:universal_forwarder:*:*:*:*:*:*:*:*

Версия от 9.0.0 (включая) до 9.0.6 (исключая)

cpe:2.3:a:splunk:universal_forwarder:9.1.0:*:*:*:*:*:*:*

EPSS

Процентиль: 51%

0.00283

Низкий

7.5 High

CVSS3

5 Medium

CVSS2

Дефекты

CWE-295

Связанные уязвимости

CVE-2020-8286

CVSS3: 7.5

ubuntu

около 5 лет назад

curl 7.41.0 through 7.73.0 is vulnerable to an improper check for certificate revocation due to insufficient verification of the OCSP response.

CVE-2020-8286

CVSS3: 7.4

redhat

около 5 лет назад

curl 7.41.0 through 7.73.0 is vulnerable to an improper check for certificate revocation due to insufficient verification of the OCSP response.

CVE-2020-8286

CVSS3: 7.5

msrc

около 5 лет назад

curl 7.41.0 through 7.73.0 is vulnerable to an improper check for certificate revocation due to insufficient verification of the OCSP response.

CVE-2020-8286

CVSS3: 7.5

debian

около 5 лет назад

curl 7.41.0 through 7.73.0 is vulnerable to an improper check for cert ...

GHSA-xh5x-q49r-r9w4

CVSS3: 7.5

github

больше 3 лет назад

curl 7.41.0 through 7.73.0 is vulnerable to an improper check for certificate revocation due to insufficient verification of the OCSP response.

EPSS

Процентиль: 51%

0.00283

Низкий

7.5 High

CVSS3

5 Medium

CVSS2

Дефекты

CWE-295