聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
专栏·供应链安全
数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。
随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。
为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。
注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。
基础性开源命令行工具 curl 的维护人员提醒称，本周将修复两个漏洞，其中一个是高危漏洞。
Curl 为很多网络协议如SSL、TLS、HTTP、FTP、SMTP 等提供支持，供广大开发人员和系统管理员“与API交互、下载文件并在多种基于互联网的任务中创建自动化工作流。“
上周三，Curl 工具的维护人员在 GitHub 安全公告中提到，将为一个高危漏洞CVE-2023-38545和一个低危漏洞CVE-2023-38546发布修复方案，curl 更新将在10月11日发布以修复这些漏洞。CVE-2023-38545同时影响 curl 和 libcurl，而CVE-2023-38546仅影响 libcurl。
可能是长时间内最严重的漏洞
一名维护人员提到，“该高危漏洞可能是很长时间以来最为严重的curl 漏洞。我无法披露漏洞所影响的版本范围，否则识别该问题的准确率非常高，因此我无法提前披露。具体能透露的就是‘最近数年发布的版本’均受影响。我们已经通知了发行版本邮件列表，使成员发行版本能够准备补丁。（在没有支持合同以及合理理由的情况下，其他任何人均无法在10月11日之前获得漏洞详情。）一旦了解之后，应马上行动。”
Tanium 公司的端点安全研究总监 Melissa Bischoping 提到，curl 作为独立工具和其它软件的组成部分均得到广泛应用。Curl 的广泛使用意味着组织机构应当趁此扩展其环境。Bischoping 解释称，虽然该漏洞可能并不影响curl的所有实现，但鉴于该首席开发人员给出的提前通知以及它可能具有的广泛影响，“即使最终并没有那么严重，但将其作为重大事件进行规划是稳妥做法。
她提到，“作为行业来讲，避免引发恐慌、不确定性和质疑的同时，以准备和补丁管理规划来应对这些‘最糟糕场景’至关重要。我很感激在我们为10月11日将发布的补丁进行权力准备时，curl开发人员能够竭尽所能提前告知并尝试控制最激烈的反应。”
Qualys 公司的研究员 Saeed Abbasi 发布博客文章解释称，libcurl 可使开发人员“在应用程序中增加健壮的数据传输功能，确保软件能够与服务器就多种任务如发送HTTP请求、管理cookie和处理认证等任务进行通信。这使得 curl 成为开发互联和web 应用的重要工具。”
该漏洞为开源安全旋风月画上了句号。白宫主持了由开源安全专家组成的一个论坛，随后发布了关于未来如何应对开源网络安全的路线图。但该会议之后，已有多个开源漏洞引发警报。网络安全和基础设施局 (CISA) 和网络安全研究员提醒称，影响两款热门开源工具libwebp和libvpx的多个漏洞目前已遭黑客利用。谷歌表示已发现未知商业监控软件厂商利用这些漏洞的证据。
上周二，亚马逊Web Services 为TorchServe 用户发布提醒。TorchServe 用于全球规模最大的人工智能模型企业中。
SBOM重要性凸显
多名人士表示，最近发生的事件强调了政府推动SBOMs的意义所在。SBOM将有助于组织机构了解所使用软件所依赖的工具。
Bischoping 表示，关于影响Curl 和 libcurl 问题的公布“再次说明SBOM的重要性所在，它可使组织机构找到使用特定组件如curl的任何东西。过去多年来，类似工具中出现类似漏洞的情况并不少见。在行业更好地标准化并默认包含SBOM文档之前，这一问题仍将难以解决“。
代码卫士试用地址：https://codesafe.qianxin.com
开源卫士试用地址：https://oss.qianxin.com
推荐阅读
MSI UEFI 签名密钥遭泄漏 恐引发“灾难性”供应链攻击
OilRig APT 组织或在中东地区发动更多 IT 供应链攻击
“木马源”攻击影响多数编程语言的编译器，将在软件供应链攻击中发挥巨大作用
GitHub 在 “tar” 和 npm CLI 中发现7个高危的代码执行漏洞
速修复！热门npm 库 netmask 被曝严重的软件供应链漏洞，已存在9年
Npm 恶意包试图窃取 Discord 敏感信息和浏览器文件
微软“照片”应用Raw 格式图像编码器漏洞 (CVE-2021-24091)的技术分析
速修复！热门npm 库 netmask 被曝严重的软件供应链漏洞，已存在9年
SolarWinds 供应链事件后，美国考虑实施软件安全评级和标准机制
揭秘新的供应链攻击：一研究员靠它成功入侵微软、苹果等 35 家科技公司
开源OS FreeBSD 中 ftpd chroot 本地提权漏洞 (CVE-2020-7468) 的技术分析
集结30+漏洞 exploit，Gitpaste-12 蠕虫影响 Linux 和开源组件等
热门开源CI/CD解决方案 GoCD 中曝极严重漏洞，可被用于接管服务器并执行任意代码
GitKraken漏洞可用于盗取源代码，四大代码托管平台撤销SSH密钥
因服务器配置不当，热门直播平台 Twitch 的125GB 数据和源代码被泄露
原文链接
https://therecord.media/curl-vulnerabilities-to-be-announced-open-source
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~
2024
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
