curl projesi, HTTP/2 yüklemelerini etkileyen güvenlik açığını 14 Ekim’de yayımlanan curl 8.23.0 sürümüyle kapattı. Açık, bir proof of concept çalışmasının istemci tarafında kod çalıştırmaya kadar gidebileceğini göstermesinin ardından gündeme geldi.
Güncellemeyi hazırlayan ekip, saldırganın bir curl istemcisini ele geçirebilmesi için hedefin derleme ayrıntılarını ve bellek yerleşimini eksiksiz bilmesi gerektiğini söyledi. Proje, gerçek bir saldırının çoğu senaryoda doğrudan kod çalıştırma yerine çökme ile sonuçlanacağını da vurguladı.
İstemci tarafında dar bir saldırı penceresi
Sorun, HTTP/2 üzerinden yapılan yükleme işlemlerinde ortaya çıktı. Web istemcileri, araç otomasyonları ve çeşitli entegrasyonlar bu tür istemcileri sık kullandığı için açık, curl kullanan yazılımların davranışını yakından ilgilendiriyor. Yine de saldırının başarı şansı, ortamın teknik ayrıntılarına sıkı sıkıya bağlı görünüyor.
curl tarafı, yamayı 14 Ekim’de 8.23.0 sürümüyle dağıtarak problemi kapattı. Projenin açıklamasında, saldırganın hedef sistemdeki bellek düzeni hakkında ayrıntılı bilgiye ihtiyaç duyduğu ve bu yüzden pratik istismar senaryosunun karmaşık olduğu aktarıldı.
PoC sonrası gelen yama
Güvenlik araştırmacılarının yayımladığı PoC, açığın teorik bir hata olmaktan çıkıp istismar edilebilir bir kusur olarak değerlendirilmesine yol açtı. Buna karşın curl, gerçek saldırıların çoğu zaman beklenenden farklı davranarak çökme ile sonlanacağını ifade etti.
curl 8.23.0 sürümünü kullanan sistemler için düzeltme artık mevcut. Açığın bir CVE numarasıyla eşleştirilip eşleştirilmediğine dair bilgi kaynak metinde yer almadı.