RHSA-2018:3157: curl and nss-pem security and bug fix update · 服務器學習

# RHSA-2018:3157: curl and nss-pem security and bug fix update ## 基本信息漏洞分類：拒絕服務信息泄露拒絕服務 CVE-2018-1000007 嚴重CVE-2018-1000122 嚴重CVE-2018-1000120 嚴重CVE-2018-1000121 中危標題: libcurl 信息泄露漏洞（CVE-2018-1000007） CVSS分值: 4.3 CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N 披露時間: 2018-01-24 CVEID: CVE-2018-1000007 簡介: libcurl是一個免費且易于使用的客戶端URL傳輸庫，支持DICT，FILE，FTP，FTPS，Gopher，HTTP，HTTPS，IMAP，IMAPS，LDAP，LDAPS，POP3，POP3S，RTMP，RTSP，SCP， SFTP，SMTP，SMTPS，Telnet和TFTP。 libcurl 7.1到7.57.0版本存在信息泄露漏洞。詳情: libcurl 7.1到7.57.0可能會意外地將身份驗證數據泄漏給第三方。當被要求在其HTTP請求中發送自定義報文頭時，libcurl會首先將報文頭發送到初始URL中的主機，但如果被要求遵循重定向并返回30X HTTP響應代碼，則會將該headers發送到URL中提到的主機`Location：`響應header的值。發送相同的頭文件到隨后的主機對于傳遞自定義`Authorization：`HTTP 報文頭的應用程序是個嚴重的問題，因為這個報文頭通常包含隱私敏感信息或數據，這些信息或數據可能允許其他人獲取敏感信息并模仿libcurl使用客戶端的請求。解決方案: 請直接在漏洞處理頁面，選擇對應服務器和漏洞，生成修復命令后，登錄到服務器上運行即可。參考鏈接: cve.mitre.org ## 修復命令 ``` yum update curl yum update libcurl yum update libcurl-devel yum update nss-pem ```