CVE-2019-5481: Double-free vulnerability in the FTP-kerberos code in cURL 7.52.0 to 7.65.3.
Оценка Noroxi
Приоритет: В плане (оценка срочности 41/100)
- В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
- Вероятность эксплуатации в ближайшие 30 дней: 7,4% (FIRST EPSS); выше, чем у 94,5% записей.
- Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
- По данным CISA атаку можно автоматизировать: цели находятся массовым сканированием.
- Исправленная версия: curl (Alpine:v3.10) 7.66.0-r0; gnurl (Alpine:v3.16) 7.66.0-r0; curl (Alpine:v3.7) 7.61.1-r3.
- Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 1.
Включите в обычный цикл установки исправлений. Обновитесь до curl (Alpine:v3.10) 7.66.0-r0; gnurl (Alpine:v3.16) 7.66.0-r0; curl (Alpine:v3.7) 7.61.1-r3 или новее.
Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем
Первоисточники: NVD · CVE.org · FIRST EPSS
- Опубликовано
- 16 сент. 2019 г.
- Обновлено
- 14 окт. 2026 г.
- EPSS
- 7,4 % · 94-й процентиль
- CWE
- CWE-415
Инструменты для отчёта
Оценка срочности
41
Включите в обычный цикл установки исправлений.
- CVSS
- 39 / 40 · 9.8 / 10
- CISA KEV
- 0 / 30 · Нет в списке
- EPSS
- 2 / 30 · 7,4 %
Решение CISA SSVC
- Эксплуатация
- нет
- Автоматизируемо
- да
- Техническое влияние
- полное
Vulnrichment: входные данные дерева решений CISA.
Оценка CNA и NVD
- NVD
- 9,8
- CNA · hackerone
- 9,8
- совпадают
Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.
Узнайте, когда запись изменится
- Нет в KEV: эксплуатация в реальных атаках не зафиксирована
- Публичного эксплойта нет
- Исправление выпущено
Если что-то из этого изменится, сообщим в ежедневной сводке.
Затронута ли ваша версия? ПроверьтеАнализ Noroxi
Что это значит для вашей инфраструктуры?
Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.
Мы используем этот продукт, нужна помощьЗатронутые системы
Затронута ли ваша версия?
Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.
| Вендор | Продукт | CPE |
|---|---|---|
| haxx | curl | cpe:2.3:a:haxx:curl |
| fedoraproject | fedora | cpe:2.3:o:fedoraproject:fedora |
| netapp | cloud backup | cpe:2.3:a:netapp:cloud_backup |
| netapp | steelstore | cpe:2.3:a:netapp:steelstore |
| netapp | solidfire baseboard management controller firmware | cpe:2.3:o:netapp:solidfire_baseboard_management_controller_firmware |
| netapp | solidfire baseboard management controller | cpe:2.3:h:netapp:solidfire_baseboard_management_controller |
| oracle | communications operations monitor | cpe:2.3:a:oracle:communications_operations_monitor |
| oracle | communications session border controller | cpe:2.3:a:oracle:communications_session_border_controller |
| oracle | enterprise manager ops center | cpe:2.3:a:oracle:enterprise_manager_ops_center |
| oracle | mysql server | cpe:2.3:a:oracle:mysql_server |
| oracle | oss support tools | cpe:2.3:a:oracle:oss_support_tools |
| debian | debian linux | cpe:2.3:o:debian:debian_linux |
и ещё 1
Версии, заявленные вендором
Диапазоны затронутых версий, заявленные назначающей организацией (hackerone). Не зависят от анализа CPE в NVD и обычно опережают его.
n/a curl
- 7.52.0 to 7.65.3затронута
Затронутые версии · NVD (20)
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- debian debian linux10.0
- debian debian linux9.0
- fedoraproject fedora29
- fedoraproject fedora30
- fedoraproject fedora31
- haxx curl7.52.0 и новее · до 7.65.3 включительно
- netapp cloud backupвсе версии
- netapp solidfire baseboard management controller firmwareвсе версии
- netapp steelstoreвсе версии
- opensuse leap15.0
- opensuse leap15.1
- oracle communications operations monitor3.4
- oracle communications operations monitor4.0
- oracle communications operations monitor4.1
- oracle communications operations monitor4.2
- oracle communications operations monitor4.3
- oracle communications session border controller8.3
- oracle communications session border controller8.4
- oracle enterprise manager ops center12.3.3
- oracle enterprise manager ops center12.4.0
Затронутые пакеты
Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.
| Экосистема | Пакет | Затронутый диапазон | Исправление |
|---|---|---|---|
| Alpine:v3.10 | curl | с 7.52.0 · до 7.66.0-r0 | 7.66.0-r0 |
| Alpine:v3.16 | gnurl | до 7.66.0-r0 | 7.66.0-r0 |
| Alpine:v3.7 | curl | с 7.52.0 · до 7.61.1-r3 | 7.61.1-r3 |
| Alpine:v3.9 | curl | с 7.52.0 · до 7.64.0-r3 | 7.64.0-r3 |
| Debian:10 | curl | до 7.64.0-4+deb10u1 | 7.64.0-4+deb10u1 |
| Debian:12 | curl | до 7.66.0-1 | 7.66.0-1 |
| Debian:9 | curl | до 7.52.1-5+deb9u10 | 7.52.1-5+deb9u10 |
| openSUSE:Leap 15.0 | curl | до 7.60.0-lp150.2.25.1 | 7.60.0-lp150.2.25.1 |
| openSUSE:Leap 15.1 | curl | до 7.60.0-lp151.5.6.1 | 7.60.0-lp151.5.6.1 |
| openSUSE:Leap 15.1 | curl-mini | до 7.60.0-lp151.5.6.1 | 7.60.0-lp151.5.6.1 |
| Red Hat:enterprise_linux:8::baseos | curl | до 0:7.61.1-12.el8 | 0:7.61.1-12.el8 |
| Red Hat:enterprise_linux:8::baseos | curl-debuginfo | до 0:7.61.1-12.el8 | 0:7.61.1-12.el8 |
| Red Hat:enterprise_linux:8::baseos | curl-debugsource | до 0:7.61.1-12.el8 | 0:7.61.1-12.el8 |
| Red Hat:enterprise_linux:8::baseos | curl-minimal-debuginfo | до 0:7.61.1-12.el8 | 0:7.61.1-12.el8 |
| Red Hat:enterprise_linux:8::baseos | libcurl | до 0:7.61.1-12.el8 | 0:7.61.1-12.el8 |
| Red Hat:enterprise_linux:8::baseos | libcurl-debuginfo | до 0:7.61.1-12.el8 | 0:7.61.1-12.el8 |
| Red Hat:enterprise_linux:8::baseos | libcurl-devel | до 0:7.61.1-12.el8 | 0:7.61.1-12.el8 |
| Red Hat:enterprise_linux:8::baseos | libcurl-minimal | до 0:7.61.1-12.el8 | 0:7.61.1-12.el8 |
| Red Hat:enterprise_linux:8::baseos | libcurl-minimal-debuginfo | до 0:7.61.1-12.el8 | 0:7.61.1-12.el8 |
| Red Hat:jboss_core_services:1::el6 | jbcs-httpd24-apr | до 0:1.6.3-73.jbcs.el6 | 0:1.6.3-73.jbcs.el6 |
| Red Hat:jboss_core_services:1::el6 | jbcs-httpd24-apr-debuginfo | до 0:1.6.3-73.jbcs.el6 | 0:1.6.3-73.jbcs.el6 |
| Red Hat:jboss_core_services:1::el6 | jbcs-httpd24-apr-devel | до 0:1.6.3-73.jbcs.el6 | 0:1.6.3-73.jbcs.el6 |
| Red Hat:jboss_core_services:1::el6 | jbcs-httpd24-apr-util | до 0:1.6.1-54.jbcs.el6 | 0:1.6.1-54.jbcs.el6 |
| Red Hat:jboss_core_services:1::el6 | jbcs-httpd24-apr-util-debuginfo | до 0:1.6.1-54.jbcs.el6 | 0:1.6.1-54.jbcs.el6 |
+96
Тот же продукт
haxx: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2021-22901curl 7.75.0 through 7.76.1 suffers from a use-after-free vulnerability resulting in already freed memory being used when a TLS 1.3 session…51В плане
- CVE-2023-38039When curl retrieves an HTTP response, it stores the incoming headers so that
they can be accessed later via the libcurl headers API.47В плане
- CVE-2024-2398HTTP/2 push headers memory-leak45В плане
Опубликованы до и после этой записи в том же продукте
- ← РаньшеCVE-2019-543528 мая 2019 г. · An integer overflow in curl's URL API results in a buffer overflow in libcurl 7.62.0 to and including 7.64.1.16Наблюдать
- ← РаньшеCVE-2019-54432 июл. 2019 г. · A non-privileged user or program can put code and a config file in a known non-privileged path (under C:/usr/local/) that will make curl <=…31Наблюдать
- Позже →CVE-2019-548216 сент. 2019 г. · Heap buffer overflow in the TFTP protocol handler in cURL 7.19.4 to 7.65.3.44В плане
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| alpine:curl | 7.66.0-r0 · Alpine:v3.10 | Реестр пакетов (OSV) |
| alpine:gnurl | 7.66.0-r0 · Alpine:v3.16 | Реестр пакетов (OSV) |
| debian:curl | 7.66.0-1 · Debian:12 | Реестр пакетов (OSV) |
| opensuse:curl | 7.60.0-lp151.5.6.1 · openSUSE:Leap 15.1 | Реестр пакетов (OSV) |
| opensuse:curl-mini | 7.60.0-lp151.5.6.1 · openSUSE:Leap 15.1 | Реестр пакетов (OSV) |
| red hat:jbcs-httpd24-apr | 0:1.6.3-73.jbcs.el6 · Red Hat:jboss_core_services:1::el6 | Реестр пакетов (OSV) |
| red hat:jbcs-httpd24-apr-debuginfo | 0:1.6.3-73.jbcs.el6 · Red Hat:jboss_core_services:1::el6 | Реестр пакетов (OSV) |
| red hat:jbcs-httpd24-apr-devel | 0:1.6.3-73.jbcs.el6 · Red Hat:jboss_core_services:1::el6 | Реестр пакетов (OSV) |
| red hat:jbcs-httpd24-apr-util | 0:1.6.1-54.jbcs.el6 · Red Hat:jboss_core_services:1::el6 | Реестр пакетов (OSV) |
| red hat:jbcs-httpd24-apr-util-debuginfo | 0:1.6.1-54.jbcs.el6 · Red Hat:jboss_core_services:1::el6 | Реестр пакетов (OSV) |
| red hat:jbcs-httpd24-apr-util-devel | 0:1.6.1-54.jbcs.el6 · Red Hat:jboss_core_services:1::el6 | Реестр пакетов (OSV) |
| red hat:jbcs-httpd24-apr-util-ldap | 0:1.6.1-54.jbcs.el6 · Red Hat:jboss_core_services:1::el6 | Реестр пакетов (OSV) |
| red hat:jbcs-httpd24-apr-util-mysql | 0:1.6.1-54.jbcs.el6 · Red Hat:jboss_core_services:1::el6 | Реестр пакетов (OSV) |
| red hat:jbcs-httpd24-apr-util-nss | 0:1.6.1-54.jbcs.el6 · Red Hat:jboss_core_services:1::el6 | Реестр пакетов (OSV) |
| red hat:jbcs-httpd24-apr-util-odbc | 0:1.6.1-54.jbcs.el6 · Red Hat:jboss_core_services:1::el6 | Реестр пакетов (OSV) |
| red hat:jbcs-httpd24-apr-util-openssl | 0:1.6.1-54.jbcs.el6 · Red Hat:jboss_core_services:1::el6 | Реестр пакетов (OSV) |
| red hat:jbcs-httpd24-apr-util-pgsql | 0:1.6.1-54.jbcs.el6 · Red Hat:jboss_core_services:1::el6 | Реестр пакетов (OSV) |
| suse:curl | 7.60.0-3.23.1 · SUSE:Linux Enterprise Module for Basesystem 15 | Реестр пакетов (OSV) |
Статус эксплойта
Публичный эксплойт неизвестен
Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
Кроме публикации датированных событий нет.
Национальное уведомление (Управление кибербезопасности Турции / USOM)
Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.
- TR-20-905 · 30 окт. 2020 г.(OpenShift Güvenlik Güncellemesi)
В записи нет: истории EPSS · ссылки на коммит или PR с исправлением · указания авторов находки · кандидатов в варианты и цепочки · публичной программы вознаграждений.
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Учётная запись или пароль не требуются.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- высокое · данные могут быть прочитаны
- Целостность
- высокое · данные или конфигурация могут быть изменены
- Доступность
- высокое · работа сервиса может быть нарушена
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Не требуются
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Не изменяется
- Влияние на конфиденциальность
- Высокое
- Влияние на целостность
- Высокое
- Влияние на доступность
- Высокое
Класс уязвимости (CWE)
CWE-415 · Double FreeВектор CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
nvd-primary
Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.
Журнал изменений (1)
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
Показать все источники (ещё 13)Свернуть
- lists.opensuse.org/opensuse-security-announce/2019-09/msg00055.html
- curl.haxx.se/docs/CVE-2019-5481.html
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/6CI4QQ2RSZX4VCFM76SIWGKY6BY7UWIC/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/RGDVKSLY5JUNJRLYRUA6CXGQ2LM63XC3/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/UA7KDM2WPM5CJDDGOEGFV6SSGD2J7RNT/
- seclists.org/bugtraq/2020/Feb/36
- security.gentoo.org/glsa/202003-29
- security.netapp.com/advisory/ntap-20191004-0003/
- www.debian.org/security/2020/dsa-4633
- www.oracle.com/security-alerts/cpuapr2020.html
- www.oracle.com/security-alerts/cpujan2020.html
- www.oracle.com/security-alerts/cpuoct2020.html
- cert-portal.siemens.com/productcert/html/ssa-398330.html
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.