curl 创始人 Daniel Stenberg(社区称号 bagder)表示将于 10 月 11 日发布的 curl 8.4.0 会修复高危安全漏洞,并称该漏洞可能是很长一段时间以来 curl 遇到的最严重漏洞 (the worst curl security flaw in a long time),同时影响到 libcurl 库和 curl 工具。
此外还会修复被评级为"LOW"的安全漏洞——仅 libcurl 受影响。
- CVE-2023-38545: severity HIGH (affects both libcurl and the curl tool)
- CVE-2023-38546: severity LOW (affects libcurl only, not the tool)
via https://github.com/curl/curl/discussions/12026
bagder 表示目前无法透露有关受影响的版本范围,因为这会导致漏洞被高精确地针对性利用。他只说到“过去几年”发布的版本都会受影响。
bagder 已在邮件列表宣布该消息,建议使用 curl 的开发者密切关注即将发布的 curl 8.4.0,同时梳理在项目中使用该库的情况,以便及时安装更新。