Especialistas en ciberseguridad reportan la detección de múltiples vulnerabilidades en cURL, un proyecto de software consistente en una biblioteca y un intérprete de comandos orientado a la transferencia de archivos. ​Acorde al reporte, la explotación exitosa de las fallas reportadas permite a los actores de amenazas desplegar toda clase de peligrosos ciberataques.

A continuación se presentan breves reportes de las fallas detectadas además de sus respectivas claves de identificación y puntajes asignados por el Common Vulnerability Scoring System (CVSS).

CVE-2021-22947: La vulnerabilidad existe debido a la forma en que libcurl maneja el proceso de negociación STARTTLS; cuando cURL se conecta a un servidor IMAP, POP3, SMTP o FTP, el servidor aún puede responder y enviar múltiples respuestas antes de la actualización TLS. Estas múltiples respuestas “canalizadas” se almacenan en caché mediante cURL.

Posteriormente la herramienta se actualizaría a TLS pero no eliminaría la cola de respuestas almacenadas en caché y, en su lugar, usaría y confiaría en las respuestas que obtuvo antes del protocolo de enlace TLS como si estuvieran autenticadas.

La explotación de la falla permitiría a los actores de amenazas desplegar ataques Man-In-The-Middle (MiTM), inyectar primero las respuestas falsas, luego pasar el tráfico TLS desde el servidor legítimo y engañar a la cURL para enviar datos al usuario pensando que los datos inyectados del atacante provienen de el servidor protegido por TLS.

La falla recibió un puntaje CVSS de 6.2/10.

CVE-2021-22946: UN error relacionado con la aplicación incorrecta de la opción –ssl-reqd en la línea de comando o la configuración CURLOPT_USE_SSL establecida en CURLUSESSL_CONTROL o CURLUSESSL_ALL con libcurl permitiría a los actores de amenazas remotos con control sobre el servidor IMAP, POP3 o FTP enviar una respuesta especialmente diseñada al cliente libcurl y obligarlo a continuar silenciosamente sus operaciones sin cifrado TLS.

Esta vulnerabilidad recibió un puntaje CVSS de 6.2/10.

CVE-2021-22945: Un error de límite al enviar datos a un servidor MQTT permitiría a los actores de amenazas remotos con capacidad para controlar la entrada libcurl puede desencadenar un doble error libre y realizar un ataque de denegación de servicio (DoS).

La falla recibió un puntaje de 3.2/10.

Las vulnerabilidades pueden ser explotadas por actores de amenazas remotos no autenticados, no obstante, los expertos en ciberseguridad no han detectado intentos de explotación en escenarios reales. Aún así, se recomienda a los usuarios de implementaciones afectadas instalar las actualizaciones disponibles a la brevedad.

Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).