阿里云漏洞库

CVE编号

CVE-2023-38545

利用情况

POC 已公开

补丁情况

官方补丁

披露时间

2023-10-11

libcurl是curl的一个开发库，它提供了用于进行网络通信和数据传输的API和功能。

当curl使用socks5代理时，如果请求的hostname长度大于255则curl会尝试使用本地解析代替远程解析，导致内存损坏，攻击者可以构造恶意hostname诱导受害者访问从而触发漏洞，成功利用该漏洞将造成代码执行。

libcurl >= 8.4.0和libcurl < 7.69.0不受漏洞影响。
升级至安全版本及其以上。
官方补丁地址： https://curl.se/docs/CVE-2023-38545.html

参考链接
http://seclists.org/fulldisclosure/2024/Jan/34
http://seclists.org/fulldisclosure/2024/Jan/37
http://seclists.org/fulldisclosure/2024/Jan/38
https://curl.se/docs/CVE-2023-38545.html
https://forum.vmssoftware.com/viewtopic.php?f=8&t=8868
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedorapr...
https://security.netapp.com/advisory/ntap-20231027-0009/
https://security.netapp.com/advisory/ntap-20240201-0005/
https://support.apple.com/kb/HT214036
https://support.apple.com/kb/HT214057
https://support.apple.com/kb/HT214058
https://support.apple.com/kb/HT214063
https://www.secpod.com/blog/high-severity-heap-buffer-overflow-vulnerability/