curl命令注入漏洞分析报告

报告ID: #3418760
报告时间: 2025年11月10日
披露时间: 2025年11月11日
弱点类型: 命令注入 - 通用
CVE ID: 无
赏金: 无

漏洞描述

curl 8.17.0.1版本中的$openssl代码存在安全风险，可能被恶意利用。

1

$result = "$openssl" dgst -r -sha256 "$_[0]";

$_[0]参数直接插入到shell命令中，未经过任何过滤或转义处理。

攻击者能够执行任意系统命令。

1
2


sha256("file.txt; rm -rf /")
sha256("file.txt; cat /etc/passwd")

“虽然可以在脚本中加强安全性，但我认为这在现实中不太可能被利用。首先，这个脚本不太可能被任何人使用任意命令行参数运行；如果是自动化运行，更可能使用固定的值，不会受到此问题影响。参数本身来自-d命令行选项，这绝不应该设置为攻击者可控的，因为它可以包含任意URL。”

“虽然输入消毒是良好的开发实践，但需要更多关于如何实际利用此漏洞的信息。如果你能在环境中运行此脚本，很可能也能做其他更严重的事情。”