CVE-2018-1000007: libcurl: vazamento de cabeçalhos de autenticação em redirecionamentos

Visão geral

O aviso sobre a libcurl descreve uma falha em que cabeçalhos HTTP personalizados são enviados além do host pretendido quando redirecionamentos são seguidos. Segundo o registro, os cabeçalhos são primeiro enviados ao host da URL inicial e, quando uma resposta 30X aponta para outro destino pelo cabeçalho Location, o mesmo conjunto pode ser enviado ao novo host. O problema está descrito no aviso de segurança do curl e resumido na entrada da NVD.

Impacto

Dados de autenticação transportados em cabeçalhos Authorization personalizados podem chegar a hosts de terceiros.
Os cabeçalhos expostos podem conter informações sensíveis de privacidade ou permitir que outros se passem pelas requisições do cliente.
A NVD atribui pontuação base 9.8 no CVSS 3.1 (crítica), com impacto alto em confidencialidade, integridade e disponibilidade no vetor informado.

Produtos e versões afetadas

O registro lista como afetadas as versões da libcurl de 7.1 até 7.57.0. Também cita diversas distribuições Linux, versões do Red Hat Enterprise Linux e produtos de firmware Fujitsu M10 e M12 com restrições de versão. Algumas entradas da Fujitsu usam cadeias de restrição cujo significado exato deve ser confirmado no aviso do fabricante.

libcurl: 7.1 até 7.57.0
Ubuntu Linux, Debian Linux e Red Hat Enterprise Linux: entradas específicas de distribuição no registro
Firmware Fujitsu M10, M12 e M10-4s: entradas de restrição no registro

O registro não informa uma versão exata corrigida da libcurl nos campos fornecidos.

Status de exploração

O campo do catálogo KEV da CISA está como falso no registro, portanto nenhuma exploração ativa confirmada aparece nas fontes consultadas nesta análise. A probabilidade EPSS no registro é 0,06578, com percentil de 0,93694. Esses valores estimam a probabilidade, mas não confirmam exploração.

Correção e mitigação

Identifique os sistemas que usam libcurl na faixa afetada, incluindo cópias empacotadas fornecidas por distribuições ou firmware.
Aplique as correções do fabricante compatíveis com sua plataforma, usando o aviso do curl, o aviso da Ubuntu, o aviso da Debian ou a atualização da Oracle, conforme aplicável.
Se a aplicação de correções for adiada, evite o seguimento automático de redirecionamentos em requisições que carregam cabeçalhos personalizados sensíveis e não repasse cabeçalhos Authorization em redirecionamentos não confiáveis.
Renove credenciais que possam ter sido expostas caso registros ou tráfego mostrem transmissão inesperada entre hosts.

Orientação para detecção

Revise código e configuração de aplicações em busca de cabeçalhos Authorization ou outros cabeçalhos sensíveis personalizados combinados com seguimento de redirecionamentos.
Monitore requisições de saída que levem cabeçalhos sensíveis a hosts que não eram o destino original.
Acompanhe o status EPSS e KEV ao longo do tempo, pois esses valores podem mudar após a publicação.

Limitações das informações disponíveis

O registro não inclui a versão exata corrigida da libcurl, a lista completa de versões de correção dos fabricantes nem um título fornecido pelo CNA. As faixas afetadas de distribuições e firmware foram extraídas do registro como estão e não foram verificadas de forma independente. O status de exploração reflete apenas as fontes consultadas.

Perguntas frequentes

Esta falha da libcurl está sendo explorada ativamente?

O registro mostra o campo KEV da CISA como falso, então nenhuma exploração ativa confirmada aparece nas fontes consultadas. Os valores EPSS do registro estimam a probabilidade, mas não confirmam exploração.

O que devo fazer primeiro?

Identifique instâncias da libcurl na faixa afetada, aplique a correção do fabricante compatível com sua plataforma e evite enviar cabeçalhos personalizados sensíveis em redirecionamentos até que a correção seja concluída.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.