「curl」にパスワードが漏洩する脆弱性 - アップデートを公開

「curl」の開発チームは、現地時間12月11日にアドバイザリを公開し、特定条件下でパスワードが漏洩する脆弱性について明らかにした。

認証情報を保存する「.netrcファイル」において、同じサイトに認証とHTTPリダイレクトの双方が要求された場合に、元のホストに指定されたパスワードがリダイレクト先ホストに送信される脆弱性「CVE-2024-11053」を明らかにしたもの。

リダイレクト先ホストが「.netrcファイル」に含まれるものの、パスワードが設定されていない場合に影響を受けるという。開発チームでは重要度を「低（Low）」とレーティングした。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、共通脆弱性評価システム「CVSSv3.1」において同脆弱性のベーススコアを「3.4」、重要度を4段階中もっとも低い「低（Low）」としている。

一方GitHubでは、CVSS基本値を「9.1」と評価。重要度を「クリティカル（Critical）」とした。

（Security NEXT - 2024/12/16 ）ツイート