CVE-2023-46219
curl HSTS: длинное имя файла могло очистить кэш
Проверьте curl/libcurl 7.84.0–8.4.0, если HSTS сохраняется в файл с именем почти предельной длины. Кэш мог очиститься и ослабить переход на HTTPS; исправление — 8.5.0.
Кому нужно проверить
Администраторам заданий curl с HSTS-файлом. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Клиент мог перестать знать, что домен требует HTTPS. Это не доказывает перехват, но требует проверки URL и журналов.
Затронутые версии
При сохранении HSTS временное имя с добавленным суффиксом могло превысить лимит файловой системы, оставив итоговый файл пустым. Условия зависят от ОС и пути.
Исправленные версии
Исправлено в 8.5.0: временное имя строится из случайных букв. Пакет поставщика может содержать backport.
Что сделать
- 1Найдите задания с --hsts и реальные пути файлов, не публикуя содержимое кэша.
- 2Сделайте защищённую копию и проверьте создание и чтение файла на staging.
- 3Обновите до 8.5.0 или исправленного пакета и перезапустите задания.
- 4Временно используйте короткий путь и явный HTTPS, но не считайте это заменой патча.
- 5После обновления проверьте права, размер, дату файла и журналы; секретные запросы не переводите на HTTP.
Почему имя файла влияет на HSTS
Ошибка возникает при безопасном сохранении кэша.
- 1curl готовит временное имя.
- 2Суффикс превышает лимит длины.
- 3Временный файл не получает ожидаемое имя.
- 4Итоговый кэш может стать пустым.
Примеры конфигурации и проверки
curl -q --versionОпция -q не загружает стандартный curlrc; команда не читает HSTS-файл и ничего не меняет.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.