Curl HTTP/2 Yükləmə Boşluğunu Aradan Qaldırdı: Potensial Müştəri Tərəfində Kod İcrası Riski

Curl-da Kritik Boşluq Aşkar Edilib

Curl layihəsi HTTP/2 yükləmələrinin idarə edilməsində kritik bir boşluğu aradan qaldırdığını elan edib. Bu zəiflik, zərərli bir serverin yükləmə qəbul edərkən müştərinin yaddaşını korlamağa qadir olduğunu ortaya çıxarıb. Tədqiqatçı tərəfindən hazırlanan bir PoC (Proof-of-Concept) isə bu vəziyyətin yükləmə edən maşında müştəri tərəfində kod icrası ilə nəticələnə biləcəyini nümayiş etdirib.

Təhlükəsizlik Yeniləməsi və Hücum Mexanizmi

Aşkar edilmiş boşluq, 14 oktyabr tarixində curl 8.23.0 versiyasında uğurla düzəldilib. Mütəxəssislər bildirirlər ki, müştəri tərəfində tam nəzarəti ələ keçirmək üçün hücum edənin hədəfin quruluşu və yaddaş tərtibatı haqqında dəqiq məlumatı olması tələb olunur. Buna baxmayaraq, curl layihəsi real hücumların adətən sistemin qəzası (crash) ilə nəticələnəcəyini gözləsə də, müəyyən şərtlər daxilində kod icrasının mümkünlüyünü vurğulayır.

İstifadəçilər Üçün Tövsiyələr

Curl, bir çox proqram təminatı və əməliyyat sistemi tərəfindən istifadə edilən geniş yayılmış bir komanda sətri aləti və kitabxanasıdır. Bu səbəbdən, bu cür boşluqlar geniş miqyasda böyük təhlükəsizlik riskləri yaradır. Bütün istifadəçilərə və sistem administratorlarına təhlükəsizliyi təmin etmək üçün proqram təminatlarını ən qısa zamanda curl 8.23.0 və ya daha yeni versiyaya yeniləmələri şiddətlə tövsiyə olunur.