Analyse approfondie : identifier et corriger les vulnérabilités critiques de libcurl/curl

Il y a peu, les communautés de sécurité et de développement ont été alertées par un avis du projet curl, par la voix de son développeur principal, Daniel Stenberg, qui a annoncé la triste nouvelle : une nouvelle version de curl, distribuée le 11 octobre, a été publiée pour corriger deux vulnérabilités de sécurité majeures, dont l'une est décrite par lui comme « probablement la pire faille de sécurité de curl depuis longtemps ».

Un post-mortem publié sur le blog de Stenberg indique que les versions concernées de la bibliothèque curl sont exposées à une vulnérabilité de dépassement de tampon sur le tas, liée à un problème hérité du protocole proxy SOCKS5 utilisé depuis 2002.

Utilisé comme outil en ligne de commande depuis 1998, curl est largement considéré comme un pilier fondamental de l'Internet. Avec une histoire aussi riche et une utilisation aussi étendue, c'est une dépendance qui, si elle s'avère vulnérable, pourrait avoir des conséquences durables sur la cybersécurité en général.

Cet incident présente des similitudes avec l'attaque dévastatrice Log4Shell dans Log4j, une autre dépendance vulnérable qui est encore exploitée près de deux ans plus tard.
‍
>>> Testez vos connaissances dès maintenant avec notre mission curl !‍

La vulnérabilité : Dépassement de tampon (Buffer Overflow)

L'exploitation est détaillée sous la référence CVE-2023-38545 et affecte les versions de curl de 7.69.0 à 8.3.0 incluses. Le bug principal est une vulnérabilité de dépassement de tampon sur le tas (Heap-based Buffer Overflow). Les premiers rapports indiquent qu'une exploitation réussie pourrait mener à une attaque plus dévastatrice d'exécution de code à distance (RCE). Bien qu'il s'agisse d'un scénario possible pour un acteur malveillant, c'est un cas d'utilisation rare plutôt qu'une généralité.

La seule circonstance atténuante est peut-être que la communication malveillante doit passer par un proxy SOCKS5, ce qui reste un déploiement relativement peu courant.

Pour mieux comprendre l'exploit curl, examinons cette explication du dépassement de tampon :

Lorsque curl est configuré pour utiliser un proxy SOCKS5, il transmet le nom d'hôte au proxy pour résolution. Cependant, si le nom d'hôte dépasse la limite de 255 octets, curl résout le nom d'hôte localement (comme illustré dans l'extrait de code ci-dessous : source).

En cas de poignée de main (handshake) lente entre le client et le proxy, il est possible que le nom d'hôte long soit copié dans le tampon mémoire au lieu de l'adresse résolue (plus courte). La portion de mémoire allouée ne permet qu'une valeur de 255 octets ; si elle reçoit une valeur dépassant cette limite, les données déborderont des limites du tampon mémoire.

>>> Essayez par vous-même dans cette mission interactive !

Le dépassement de tampon est un vecteur d'attaque puissant, fréquent dans de nombreux langages de programmation hérités. Dans ce cas précis, l'exploitation a ouvert la voie à une attaque plus grave et dommageable sous forme de RCE dans certains contextes, bien que ce cheminement reste rare et peu probable.

Comment pouvez-vous atténuer le risque de dépassement de tampon ?

À ce stade, la priorité absolue est d'appliquer les correctifs à toutes les instances vulnérables. Rappelons que l'utilisation de curl est si répandue qu'il n'est pas toujours évident ou annoncé que les composants de votre système incluent cette dépendance. Dans ce cas, un audit suivi d'une mise à jour sont nécessaires.

En général, les failles de dépassement de tampon peuvent être atténuées en utilisant un langage sécurisé pour la mémoire comme Rust. Cependant, pour un projet tentaculaire comme curl, il n'est pas pratique de migrer vers un autre langage ou de réécrire le code sur un coup de tête. Comme le note Stenberg en discutant de la possibilité d'utiliser davantage de dépendances écrites dans des langages sécurisés pour la mémoire — ou de remplacer progressivement des parties de curl — « ... le développement se fait actuellement à une vitesse quasi glaciaire et montre avec une clarté douloureuse les défis impliqués. curl restera écrit en C dans un avenir prévisible. » C'est une entreprise colossale, et les implications en matière de sécurité sont immenses.

Les erreurs de sécurité sont inévitables, et il n'est pas toujours possible de compter sur les scanners et les tests pour détecter tous les vecteurs d'attaque possibles. Par conséquent, notre meilleure arme dans la lutte contre ces bugs est un engagement envers une sensibilisation continue à la sécurité et au développement des compétences.
‍

Vous souhaitez en savoir plus sur la manière d'écrire du code sécurisé et d'atténuer les risques ?

Essayez gratuitement notre défi de dépassement de tampon (Heap Overflow).

Pour obtenir davantage de conseils de programmation gratuits, consultez Secure Code Coach afin de rester à la pointe des meilleures pratiques en matière de code sécurisé.