curl源代码中通过os.unlink()实现任意文件删除漏洞

漏洞概述

curl源代码的测试脚本中存在使用os.unlink()函数删除文件时未验证输入文件路径的情况。当这些脚本在恶意或篡改的输入下执行时，会引入任意文件删除风险。虽然该漏洞存在于测试脚本中，但如果这些脚本在共享或自动化环境中使用，可能会导致意外后果。

克隆curl仓库：https://github.com/curl/curl.git
进入tests目录
识别受影响的脚本：
- tests/negtelnetserver.py (第366行)
- tests/dictserver.py (第183行)
- tests/smbserver.py (第96、450行)
模拟恶意输入：
- 识别受影响代码中的特定脚本和输入选项（如options.pidfile）
- 修改options.pidfile或相关变量指向敏感系统文件（如/etc/passwd）
- 触发脚本导致指定文件被删除

示例代码修改：

1
2
3
4
5
6


# 原始代码：
os.unlink(options.pidfile)

# 恶意输入模拟：
options.pidfile = "/etc/passwd"   # 替换为关键或敏感文件
os.unlink(options.pidfile)

1

python3 negtelnetserver.py

传递给os.unlink()的未验证文件路径可能允许攻击者：

dfandrich (curl staff) 评论： “我不理解这个漏洞。在这些实例中删除的文件是由脚本自己创建的文件。‘恶意输入模拟’如何模拟攻击者能做的事情？pidfile位置由测试工具提供，这些工具提供已知的有效位置。”

bagder (curl staff) 关闭报告并将状态改为"不适用"： “测试服务器仅用于curl测试，从不用于其他服务。因此这不是安全问题。”

报告最终被披露，项目方基于透明政策决定公开所有报告。