curl命令注入漏洞报告 #3418760

描述

curl 8.17.0.1版本中的$openssl代码存在可利用漏洞。

1

$result = "$openssl" dgst -r -sha256 "$_[0]";

问题：$_[0]参数直接插入到shell命令中风险：攻击者可执行任意命令

1
2


sha256("file.txt; rm -rf /")
sha256("file.txt; cat /etc/passwd")

可能导致机密信息泄露

dfandrich评论： “虽然可以在脚本中加强安全性，但我认为这在现实中不太可能被利用。首先，这个脚本不太可能被任何人使用任意命令行参数运行；如果是自动化的，更可能使用不受此问题影响的固定值。参数本身来自-d命令行选项，这不应该被设置为攻击者可控的，因为它可以包含任意URL。”

bagder评论： “不被认为是安全问题。根据项目的透明度政策，我们希望所有报告都被披露并公开。”

jimfuller2024评论： “清理输入是良好的开发实践 - 但需要更多关于如何实际利用此漏洞的信息 - 如果你能在环境中运行此脚本，你可能还能做很多其他（更糟糕的）事情。”