CVE-2024-2466
curl с mbedTLS: сертификат для IP-адреса мог не проверяться
Проверьте curl/libcurl 8.5.0–8.6.0 с mbedTLS, если TLS-соединения выполняются непосредственно к IP-адресам. Проверка сертификата могла быть пропущена; обновитесь до 8.7.0.
Кому нужно проверить
Разработчикам интеграций, подключающихся по TLS к IP-адресам и использующих mbedTLS. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Клиент мог не проверить соответствие сертификата указанному IP, что создавало риск подключения к неправильному узлу. Отсутствие SNI могло уменьшать применимость, но не отменяло обновление.
Затронутые версии
Затронуты curl/libcurl 8.5.0–8.6.0 с mbedTLS при TLS к IP-адресу. Ошибка касается HTTPS, FTPS, IMAPS, POP3S, SMTPS и других TLS-протоколов; другие TLS-backend по advisory не затронуты.
Исправленные версии
Исправлено в curl/libcurl 8.7.0. Возможны патч или другой TLS-backend; после исправления часть старых mbedTLS может отклонять TLS к IP — это безопаснее принятия непроверенного сертификата.
Что сделать
- 1Найдите URL с IP и TLS и определите реальный backend; не меняйте IP на домен без проверки сертификата.
- 2Сохраните конфигурацию и проверьте обновление на staging с доменом, разрешённым IP и ошибочными сертификатами.
- 3Установите 8.7.0 или исправленный пакет, пересоберите статические приложения и перезапустите процессы.
- 4До обновления избегайте TLS к IP, если можно безопасно использовать проверенное имя; не применяйте --insecure.
- 5После обновления проверьте журналы TLS и возможность отката только на исправленный образ.
Почему IP-адрес важен
Имя URL должно быть сопоставлено с именем или IP в сертификате.
- 1Приложение открывает TLS к IP.
- 2mbedTLS передаёт IP в проверку.
- 3Уязвимая libcurl пропускает проверку.
- 4Исправленная сборка отклоняет несовпадение.
Примеры конфигурации и проверки
curl -q --versionRead-only команда без sudo, без подключения и изменений. Для встроенной libcurl приложения нужна отдельная проверка.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.