curl命令注入漏洞报告

漏洞描述

curl 8.17.0.1版本中的$openssl代码存在被利用的风险。

1

$result = "$openssl" dgst -r -sha256 "$_[0]";

问题：$_[0]参数直接插入到shell命令中

攻击者可以执行任意命令

1
2


sha256("file.txt; rm -rf /")
sha256("file.txt; cat /etc/passwd")

可能导致机密信息泄露

虽然可以在脚本中加强安全性，但我认为这在现实中不太可能被利用。首先，这个脚本不太可能被任何人使用任意命令行参数运行；如果是自动化运行，更可能使用不受此问题影响的固定值。参数本身来自-d命令行选项，这个选项不应该被设置为攻击者可控的，因为它可以包含任意URL。

将报告状态改为"不适用"，认为这不是安全问题。根据项目透明度政策，要求披露此报告。

清理输入是良好的开发实践，但需要更多关于如何实际利用此漏洞的信息。如果你能在环境中运行此脚本，很可能还能做很多其他（更严重的）事情。