# RHSA-2018:3157: curl and nss-pem security and bug fix update ## 基本信息漏洞分类： 拒绝服务信息泄露拒绝服务 CVE-2018-1000007 严重CVE-2018-1000122 严重CVE-2018-1000120 严重CVE-2018-1000121 中危 标题: libcurl 信息泄露漏洞（CVE-2018-1000007） CVSS分值: 4.3 CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N 披露时间: 2018-01-24 CVEID: CVE-2018-1000007 简介: libcurl是一个免费且易于使用的客户端URL传输库，支持DICT，FILE，FTP，FTPS，Gopher，HTTP，HTTPS，IMAP，IMAPS，LDAP，LDAPS，POP3，POP3S，RTMP，RTSP，SCP， SFTP，SMTP，SMTPS，Telnet和TFTP。 libcurl 7.1到7.57.0版本存在信息泄露漏洞。 详情: libcurl 7.1到7.57.0可能会意外地将身份验证数据泄漏给第三方。当被要求在其HTTP请求中发送自定义报文头时，libcurl会首先将报文头发送到初始URL中的主机，但如果被要求遵循重定向并返回30X HTTP响应代码，则会将该headers发送到URL中提到的主机`Location：`响应header的值。发送相同的头文件到随后的主机对于传递自定义`Authorization：`HTTP 报文头的应用程序是个严重的问题，因为这个报文头通常包含隐私敏感信息或数据，这些信息或数据可能允许其他人获取敏感信息并模仿libcurl使用客户端的请求。 解决方案: 请直接在漏洞处理页面，选择对应服务器和漏洞，生成修复命令后，登录到服务器上运行即可。 参考链接: cve.mitre.org ## 修复命令 ``` yum update curl yum update libcurl yum update libcurl-devel yum update nss-pem ```