Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

nvd логотип

CVE-2021-22923

Опубликовано: 05 авг. 2021
Источник: nvd
CVSS3: 5.3
CVSS2: 2.6
EPSS Низкий

Уязвимость в cURL: передача учетных данных на сервера при использовании функции metalink

Описание

Когда curl настроен для получения содержимого с использованием функции metalink, и при этом используются имя пользователя и пароль для загрузки XML-файла metalink, эти же учетные данные передаются далее на каждый из серверов, с которых curl загружает или пытается загрузить содержимое. Это часто происходит вопреки ожиданиям и намерениям пользователя, а также без уведомления пользователя о том, что это произошло.

Тип уязвимости

Некорректная передача учетных данных

Ссылки

Уязвимые конфигурации

Конфигурация 1
cpe:2.3:a:haxx:curl:*:*:*:*:*:*:*:*
Версия от 7.27.0 (включая) до 7.78.0 (исключая)
Конфигурация 2
cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:*
Конфигурация 3

Одно из

cpe:2.3:a:netapp:cloud_backup:-:*:*:*:*:*:*:*
cpe:2.3:a:netapp:clustered_data_ontap:-:*:*:*:*:*:*:*
cpe:2.3:a:netapp:hci_management_node:-:*:*:*:*:*:*:*
cpe:2.3:a:netapp:solidfire:-:*:*:*:*:*:*:*
Конфигурация 4

Одно из

cpe:2.3:a:oracle:mysql_server:*:*:*:*:*:*:*:*
Версия от 5.7.0 (включая) до 5.7.35 (включая)
cpe:2.3:a:oracle:mysql_server:*:*:*:*:*:*:*:*
Версия от 8.0.0 (включая) до 8.0.26 (включая)
Конфигурация 5
cpe:2.3:a:siemens:sinec_infrastructure_network_services:*:*:*:*:*:*:*:*
Версия до 1.0.1.1 (исключая)
Конфигурация 6

Одновременно

cpe:2.3:o:netapp:h300s_firmware:-:*:*:*:*:*:*:*
cpe:2.3:h:netapp:h300s:-:*:*:*:*:*:*:*
Конфигурация 7

Одновременно

cpe:2.3:o:netapp:h500s_firmware:-:*:*:*:*:*:*:*
cpe:2.3:h:netapp:h500s:-:*:*:*:*:*:*:*
Конфигурация 8

Одновременно

cpe:2.3:o:netapp:h700s_firmware:-:*:*:*:*:*:*:*
cpe:2.3:h:netapp:h700s:-:*:*:*:*:*:*:*
Конфигурация 9

Одновременно

cpe:2.3:o:netapp:h300e_firmware:-:*:*:*:*:*:*:*
cpe:2.3:h:netapp:h300e:-:*:*:*:*:*:*:*
Конфигурация 10

Одновременно

cpe:2.3:o:netapp:h500e_firmware:-:*:*:*:*:*:*:*
cpe:2.3:h:netapp:h500e:-:*:*:*:*:*:*:*
Конфигурация 11

Одновременно

cpe:2.3:o:netapp:h700e_firmware:-:*:*:*:*:*:*:*
cpe:2.3:h:netapp:h700e:-:*:*:*:*:*:*:*
Конфигурация 12

Одновременно

cpe:2.3:o:netapp:h410s_firmware:-:*:*:*:*:*:*:*
cpe:2.3:h:netapp:h410s:-:*:*:*:*:*:*:*
Конфигурация 13

Одно из

cpe:2.3:a:splunk:universal_forwarder:*:*:*:*:*:*:*:*
Версия от 8.2.0 (включая) до 8.2.12 (исключая)
cpe:2.3:a:splunk:universal_forwarder:*:*:*:*:*:*:*:*
Версия от 9.0.0 (включая) до 9.0.6 (исключая)
cpe:2.3:a:splunk:universal_forwarder:9.1.0:*:*:*:*:*:*:*

EPSS

Процентиль: 20%
0.00064
Низкий

5.3 Medium

CVSS3

2.6 Low

CVSS2

Дефекты

CWE-319
CWE-319

Связанные уязвимости

ubuntu логотип

CVE-2021-22923

CVSS3: 5.3
ubuntu
почти 4 года назад

When curl is instructed to get content using the metalink feature, and a user name and password are used to download the metalink XML file, those same credentials are then subsequently passed on to each of the servers from which curl will download or try to download the contents from. Often contrary to the user's expectations and intentions and without telling the user it happened.

redhat логотип

CVE-2021-22923

CVSS3: 5.7
redhat
почти 4 года назад

When curl is instructed to get content using the metalink feature, and a user name and password are used to download the metalink XML file, those same credentials are then subsequently passed on to each of the servers from which curl will download or try to download the contents from. Often contrary to the user's expectations and intentions and without telling the user it happened.

debian логотип

CVE-2021-22923

CVSS3: 5.3
debian
почти 4 года назад

When curl is instructed to get content using the metalink feature, and ...

github логотип

GHSA-89qw-6g6w-269q

CVSS3: 5.3
github
около 3 лет назад

When curl is instructed to get content using the metalink feature, and a user name and password are used to download the metalink XML file, those same credentials are then subsequently passed on to each of the servers from which curl will download or try to download the contents from. Often contrary to the user's expectations and intentions and without telling the user it happened.

fstec логотип

BDU:2022-02170

CVSS3: 5.3
fstec
почти 4 года назад

Уязвимость программного средства для взаимодействия с серверами CURL, связанная с недостаточной защитой регистрационных данных, позволяющая нарушителю получить доступ к конфиденциальным данным

EPSS

Процентиль: 20%
0.00064
Низкий

5.3 Medium

CVSS3

2.6 Low

CVSS2

Дефекты

CWE-319
CWE-319