2024年度クラウドネイティブセキュリティおよび利用状況レポート
2023年10月11日、curlのバージョン8.4.0がリリースされ、重大度が高いCVE-2023-38545と低いCVE-2023-38546の脆弱性が修正されました。
CVE-2023-38545はSOCKS5ヒープバッファーオーバーフローで、リモートからの不正なSOCKSパケットにより発生し、理論上はリモートコード実行(RCE)の可能性がありますが、現時点で実際の悪用は報告されていません。
CVE-2023-38546は特定条件下でのCookieインジェクションを可能にします。
影響を受けるのはlibcurlの7.69.0から8.3.0までのバージョンで、修正版は>=8.4.0です。
CVE-2023-38545の検出は困難であり、Falcoなどのツールを使用して特定のパターンを監視することが推奨されます。
