Heimdall Security Logo

CVE-2021-22922

Vulnérabilité moyenne dans https://github.com/curl/curl

CVSS 6.5 · Moyenne
EPSS 4.3%
https://github.com/curl/curl•Versions : curl 7.27.0 to and including 7.77.0

Description

When curl is instructed to download content using the metalink feature, thecontents is verified against a hash provided in the metalink XML file.The metalink XML file points out to the client how to get the same contentfrom a set of different URLs, potentially hosted by different servers and theclient can then download the file from one or several of them. In a serial orparallel manner.If one of the servers hosting the contents has been breached and the contentsof the specific file on that server is replaced with a modified payload, curlshould detect this when the hash of the file mismatches after a completeddownload. It should remove the contents and instead try getting the contentsfrom another URL. This is not done, and instead such a hash mismatch is onlymentioned in text and the potentially malicious content is kept in the file ondisk.

Gravité et risque d'exploitation

CVE-2021-22922 obtient un score CVSS de 6.5/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 4.33 %, ce qui la place devant 91.1 % des CVE référencées.

Que faire ?

  • Vérifiez si https://github.com/curl/curl (versions curl 7.27.0 to and including 7.77.0) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE