供应链安全情报 | cURL最新远程堆溢出漏洞复现与修复建议

漏洞概述

cURL 是一个支持多种网络协议的开源项目，被广泛集成到自动化构建、网络测试、网络数据采集以及其他网络相关的任务中，备受开发者和系统管理员青睐。

cURL在2023年10月11日下午紧急发布最新版本来修复前几日发现的高危安全漏洞，其中编号为CVE-2023-38545的漏洞是cURL客户端在处理SOCKS5协议时存在的堆内存溢出漏洞。

漏洞复现

悬镜供应链安全实验室第一时间对该漏洞进行分析和复现，当使用存在CVE-2023-38545漏洞的curl客户端或libcurl库请求攻击者的恶意socks代理服务器时，攻击者可通过socks5服务器返回非法的协议数据来远程触发该堆内存溢出漏洞，如果能成功利用该漏洞，受害者主机系统可能存在被攻击者远程执行任意代码的风险。

复现结果如下所示（测试版本curl 8.3.0）：

使用curl客户端访问攻击者搭建的恶意socks代理服务器(socks5h://random.test:1080) 

curl接收到socks代理服务器的响应数据时触发内存崩溃，通过gdb内存调试可以发现curl进程的合法数据内存被攻击者发送的恶意数据覆盖导致进程崩溃。