curl 8.5.0 OCSP 验证绕过 (CVE-2024-0853)

漏洞类型 证书撤销验证不恰当 发现时间 2024-01-31 漏洞等级 低危
MPS编号 MPS-phcs-y3ga CVE编号 CVE-2024-0853 漏洞影响广度 广

漏洞危害

OSCS 描述
curl 是用于在各种网络协议之间传输数据的命令行工具。
该漏洞导致即使在线证书状态协议(OCSP stapling)测试失败,curl也会在其缓存中保留SSL会话ID。这意味着,如果会话ID缓存仍然有效,对同一主机名的后续传输可能会成功并跳过验证状态检查。此问题仅限于使用OpenSSL构建的curl,并且仅在使用TLS 1.2时出现,不影响TLS 1.3。解决此问题的措施包括升级到curl 8.6.0版本,应用补丁,不使用基于OpenSSL的curl,或不允许传输使用TLS 1.2。
参考链接:https://www.oscs1024.com/hd/MPS-phcs-y3ga

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
参考链接:https://www.oscs1024.com/hd/MPS-phcs-y3ga

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-phcs-y3ga

https://github.com/curl/curl/commit/395365ad2d9a6c3f1a35d

https://github.com/curl/curl/commit/c28e9478cb2548848ec

(0)
上一篇 2024年1月31日 下午10:00
下一篇 2024年2月1日 下午12:00

相关推荐

  • Apache Airflow ODBC Provider 远程代码执行漏洞 (CVE-2023-34395)

    漏洞类型 OS命令注入 发现时间 2023/6/27 漏洞等级 中危 MPS编号 MPS-9tea-y3fh CVE编号 CVE-2023-34395 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Airflow 是一个开源的任务和工作流管理平台,ODBC Provider 是 Apache Airflow 的一个数据库管理/插件。Apache …

    2023年8月31日
    0
  • PowerJob 未授权访问漏洞 (CVE-2023-36106)

    漏洞类型 未授权敏感信息泄露 发现时间 2023-08-18 漏洞等级 中危 MPS编号 MPS-st3c-aw5x CVE编号 CVE-2023-36106 漏洞影响广度 一般 漏洞危害 OSCS 描述 PowerJob 是一款开源的分布式任务调度框架。在 PowerJob 受影响版本中存在错误的访问控制漏洞。由于没有对/container/list接口做…

    2023年8月20日
    0
  • Uptime Kuma<1.23.3 存在持久用户会话漏洞 (CVE-2023-44400)

    漏洞类型 会话固定 发现时间 2023-10-10 漏洞等级 中危 MPS编号 MPS-p4yv-trm8 CVE编号 CVE-2023-44400 漏洞影响广度 广 漏洞危害 OSCS 描述 Uptime Kuma 是开源的自托管的监控工具。 1.23.3 之前版本中由于未对用户cookie有效清理并且未有效设置过期时间,当用户注销或修改密码后cookie…

    2023年10月10日
    0
  • Dremio 存在路径遍历漏洞 (CVE-2024-23768)

    漏洞类型 路径遍历 发现时间 2024-01-22 漏洞等级 高危 MPS编号 MPS-joly-0sb2 CVE编号 CVE-2024-23768 漏洞影响广度 一般 漏洞危害 OSCS 描述 Dremio 是一种数据湖查询和分析引擎,它可以直接连接到各种数据源,包括Hadoop、NoSQL数据库和关系数据库。 受影响版本中,经过身份眼中的攻击者可绕过角色…

    2024年1月22日
    0
  • Apache Submarine SQL 注入漏洞 (CVE-2023-37924)

    漏洞类型 SQL注入 发现时间 2023-11-22 漏洞等级 严重 MPS编号 MPS-ajf4-uzhd CVE编号 CVE-2023-37924 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache Submarine是一个端到端的机器学习平台,允许数据科学家创建完整的机器学习工作流程,涵盖数据探索、数据管道创建、模型训练、服务以及监控的每个阶段。…

    2023年11月23日
    0