CVE-2023-28321
curl: неправильный wildcard-сертификат для IDN
Проверьте curl/libcurl 7.12.0–8.0.1 с собственной проверкой имён для OpenSSL, Schannel или Gskit и международными доменами. Обновление до 8.1.0 удаляет частичные wildcard-сопоставления.
Кому нужно проверить
Администраторам клиентов, проверяющих TLS-сертификаты международных доменов. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Клиент мог принять сертификат с неподходящим именем, ослабив проверку подлинности узла. Практический риск зависит от частной PKI и конфигурации.
Затронутые версии
Punycode IDN с префиксом xn-- мог ошибочно сопоставиться с частичным шаблоном вроде x*. Сборки с другими TLS-backend по advisory не затронуты; публичные CA обычно не разрешают такие wildcard.
Исправленные версии
Исправлено в 8.1.0: поддерживается только полный wildcard *. Учитывайте backport поставщика.
Что сделать
- 1Проверьте версию, TLS-backend и внутренние шаблоны сертификатов.
- 2Сохраните доверенное хранилище и протестируйте IDN и ожидаемые отказы на staging.
- 3Обновите до 8.1.0 или исправленного пакета, пересоберите статические приложения.
- 4Не отключайте проверку и не добавляйте широкие wildcard; до обновления ограничьте endpoints.
- 5После обновления проверьте backend и при признаках MITM смените потенциально раскрытые учетные данные.
Как IDN участвует в проверке
Punycode нельзя трактовать как обычный wildcard-текст.
- 1Адрес IDN преобразуется в punycode.
- 2Клиент сравнивает имя с SAN сертификата.
- 3Старая логика принимает частичное совпадение.
- 4Новая логика оставляет только безопасное *.
Примеры конфигурации и проверки
curl -q --versionКоманда не подключается и не меняет trust store; системный curl может отличаться от приложения.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.