供应链安全:cURL最新远程堆溢出漏洞复现与修复建议

cURL在2023年10月11日下午紧急发布最新版本来修复前几日发现的高危安全漏洞，其中编号为CVE-2023-38545的漏洞是cURL客户端在处理SOCKS5协议时存在的堆内存溢出漏洞。

复现结果如下所示（测试版本curl 8.3.0）：

curl接收到socks代理服务器的响应数据时触发内存崩溃，通过gdb内存调试可以发现curl进程的合法数据内存被攻击者发送的恶意数据覆盖导致进程崩溃。

https://github.com/curl/curl/commit/fb4415d8aee6c1

在修复补丁中，当cURL客户端发现socks5代理服务器返回的http重定向hostname长度大于255时，则直接抛出异常(SOCKS5: the destination hostname is too long to be resolved remotely by the proxy.)。

• 禁止使用存在漏洞版本的curl客户端或libcurl库连接不信任的socks代理服务器
• 升级到最新版本8.4.0

*ps：可以关注下容器中cURL的默认版本

该漏洞利用难度较高，用户可酌情选择是否升级到最新版本

参考链接:

https://curl.se/docs/CVE-2023-38545.html