基础性开源命令行工具 curl 的维护人员提醒称，本周将修复两个漏洞，其中一个是高危漏洞。

Curl 为很多网络协议如SSL、TLS、HTTP、FTP、SMTP 等提供支持，供广大开发人员和系统管理员“与API交互、下载文件并在多种基于互联网的任务中创建自动化工作流。“

上周三，Curl 工具的维护人员在 GitHub 安全公告中提到，将为一个高危漏洞CVE-2023-38545和一个低危漏洞CVE-2023-38546发布修复方案，curl 更新将在10月11日发布以修复这些漏洞。CVE-2023-38545同时影响 curl 和 libcurl，而CVE-2023-38546仅影响 libcurl。

可能是长时间内最严重的漏洞

一名维护人员提到，“该高危漏洞可能是很长时间以来最为严重的curl 漏洞。我无法披露漏洞所影响的版本范围，否则识别该问题的准确率非常高，因此我无法提前披露。具体能透露的就是‘最近数年发布的版本’均受影响。我们已经通知了发行版本邮件列表，使成员发行版本能够准备补丁。（在没有支持合同以及合理理由的情况下，其他任何人均无法在10月11日之前获得漏洞详情。）一旦了解之后，应马上行动。”

Tanium 公司的端点安全研究总监 Melissa Bischoping 提到，curl 作为独立工具和其它软件的组成部分均得到广泛应用。Curl 的广泛使用意味着组织机构应当趁此扩展其环境。Bischoping 解释称，虽然该漏洞可能并不影响curl的所有实现，但鉴于该首席开发人员给出的提前通知以及它可能具有的广泛影响，“即使最终并没有那么严重，但将其作为重大事件进行规划是稳妥做法。

她提到，“作为行业来讲，避免引发恐慌、不确定性和质疑的同时，以准备和补丁管理规划来应对这些‘最糟糕场景’至关重要。我很感激在我们为10月11日将发布的补丁进行权力准备时，curl开发人员能够竭尽所能提前告知并尝试控制最激烈的反应。”

Qualys 公司的研究员 Saeed Abbasi 发布博客文章解释称，libcurl 可使开发人员“在应用程序中增加健壮的数据传输功能，确保软件能够与服务器就多种任务如发送HTTP请求、管理cookie和处理认证等任务进行通信。这使得 curl 成为开发互联和web 应用的重要工具。”

该漏洞为开源安全旋风月画上了句号。白宫主持了由开源安全专家组成的一个论坛，随后发布了关于未来如何应对开源网络安全的路线图。但该会议之后，已有多个开源漏洞引发警报。网络安全和基础设施局 (CISA) 和网络安全研究员提醒称，影响两款热门开源工具libwebp和libvpx的多个漏洞目前已遭黑客利用。谷歌表示已发现未知商业监控软件厂商利用这些漏洞的证据。

上周二，亚马逊Web Services 为TorchServe 用户发布提醒。TorchServe 用于全球规模最大的人工智能模型企业中。

SBOM重要性凸显

多名人士表示，最近发生的事件强调了政府推动SBOMs的意义所在。SBOM将有助于组织机构了解所使用软件所依赖的工具。

Bischoping 表示，关于影响Curl 和 libcurl 问题的公布“再次说明SBOM的重要性所在，它可使组织机构找到使用特定组件如curl的任何东西。过去多年来，类似工具中出现类似漏洞的情况并不少见。在行业更好地标准化并默认包含SBOM文档之前，这一问题仍将难以解决“。

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~