curl の脆弱性 CVE-2024-11053 (CVSS 9.1) が FIX：ユーザー認証情報の漏えいの可能性

CVE-2024-11053 (CVSS 9.1): Curl Vulnerability Exposes User Credentials in Redirects

2024/12/14 SecurityOnline — 人気のコマンドライン・ツール／ライブラリである curl に、新たな脆弱性 CVE-2024-11053 (CVSS 9.1) が発見された。この脆弱性は、.netrcファイルを用いた認証情報の保存と、curl の HTTP リダイレクト処理とのインタラクションに起因する。この脆弱性が悪用されると、ユーザー認証情報の漏えいにつながる可能性がある。

特定の条件下において、curl が .netrcファイルを使用しリダイレクトに従うように設定されている場合に、最初のホスト宛てのパスワードが、リダイレクト先のホストへ向けて漏洩する可能性がある。この問題が発生するのは、.netrc ファイルにリダイレクト先のホスト名のエントリが含まれているが、パスワードあるいはログイン／パスワードの両方が省略されている場合となる。

悪用の一例

たとえば、a.tld への curl 転送が b.tld へリダイレクトされるとする。.netrc ファイルには、a.tld 用のエントリにパスワードが設定されており、b.tld 用のエントリにはパスワードが設定されていない。この場合、curl は a.tld 用のパスワードを、その後の b.tld への転送において誤って使用し、転送先のホストにパスワードが漏洩する可能性を引き起こす。

影響を受けるバージョン

この脆弱性は、curl バージョン 6.5〜8.11.0 に影響を与える。

解決策

この脆弱性は、curl バージョン 8.11.1 で対処済されている。ユーザーに強く推奨されるのは、このバージョンにアップグレードするか、提供されているパッチを適用して curl を再構築することだ。また、回避策として、リダイレクトと .netrc ファイルの併用を避けることも有用だ。

脆弱性の影響

curl と libcurl は、数多くのアプリケーションで広く使用されているが、明示的に言及されないことが多いため、この脆弱性 CVE-2024-11053 により重大なリスクがもたらされる。資格情報が漏洩する可能性があるため、不正アクセスや機密情報の漏洩につながる恐れがある。

推奨される緩和策

• curl／libcurl を、バージョン 8.11.1 に直ちにアップグレードする。
• アップグレードが難しい場合は、パッチを適用し、curl を再構築する。
• 一時的な緩和策として、リダイレクトと併用する .netrc ファイルの使用を無効化する。

curl と libcurl の脆弱性が FIX しました。ご利用のチームは、ご注意ください。関連する直近の記事は、2023/10/11 の「cURL の深刻な脆弱性 CVE-2023-38545 が FIX：バージョン 8.4.0 への移行を急いでほしい」ですので、このブログでは今年初となります。よろしければ、curl で検索と併せて、ご参照ください。