关于cURL高危安全漏洞的风险提示

    近期，工业和信息化部网络安全威胁和漏洞信息共享平台监测发现，cURL存在堆溢出高危漏洞，影响范围广泛。

    cURL是一个利用URL语法在命令行下工作的文件传输工具，用于上传和下载指定URL的数据等，其在使用socks5代理时，攻击者可以通过精心构造的恶意请求，执行任意代码或造成拒绝服务攻击，造成系统受控等后果。

    该漏洞基于libcurl（7.69.0-8.3.0）存在，除影响使用cURL的网络和信息系统外，Android、Chrome OS、Cisco IOS、iOS、ipadOS、Linux、macOS等集成了libcurl的操作系统均受影响。目前官方已发布修复升级方案（https://github.com/cu0072l/curl/commit/fb4415d8aee6c1045be932a34fe6107c2f5ed147），受影响的用户可升级至8.4.0及以上版本解决。

    建议相关单位和用户及时排查使用cURL以及受该漏洞影响情况，及时升级相关产品版本，并采取禁止在cURL中使用“CURLPROXY_SOCKS5_HOSTNAME”代理、避免将代理环境变量设置为socks5h://等安全加固措施，防范漏洞利用风险。

原文始发于微信公众号（网络安全威胁和漏洞信息共享平台）：关于cURL高危安全漏洞的风险提示