Un equipo de investigadores ha descubierto una vulnerabilidad crítica en CURL, una herramienta de línea de comandos y una biblioteca de software que permite transferir datos a través de diferentes protocolos de red. La vulnerabilidad, identificada como CVE-2021-22945, podría permitir a un atacante remoto ejecutar código arbitrario en el sistema afectado o provocar una denegación de servicio.
Según el aviso de seguridad publicado por los desarrolladores de CURL, la vulnerabilidad se debe a un error de desbordamiento de búfer en la función `curl_easy_duphandle` que se utiliza para clonar un objeto CURL. Esta función no copia correctamente algunos campos del objeto original, lo que puede provocar que se escriban datos fuera de los límites del búfer asignado.
La vulnerabilidad afecta a todas las versiones de CURL desde la 7.10.4 hasta la 7.77.0, y también a todos los proyectos que utilizan la biblioteca libcurl, que es muy popular entre los desarrolladores web y de aplicaciones. Algunos ejemplos de proyectos que dependen de libcurl son WordPress, PHP, Python, Ruby, Node.js, Git, VLC y muchos otros.
Los desarrolladores de CURL han publicado una versión parcheada (7.78.0) que soluciona la vulnerabilidad y recomiendan a todos los usuarios y desarrolladores que actualicen sus instalaciones lo antes posible. También han proporcionado algunas soluciones alternativas para mitigar el riesgo, como limitar el tamaño del búfer o deshabilitar el uso de la función `curl_easy_duphandle`.
La vulnerabilidad fue descubierta por Harry Sintonen, un investigador de seguridad finlandés que ha encontrado varios fallos en CURL y otras herramientas de red en el pasado. Sintonen ha publicado un exploit de prueba de concepto que demuestra cómo explotar la vulnerabilidad para ejecutar código malicioso en un sistema Linux.
La vulnerabilidad en CURL es un ejemplo más de los riesgos que suponen las dependencias de software para la seguridad informática. Muchos proyectos utilizan bibliotecas o herramientas de terceros sin verificar su calidad o actualización, lo que puede provocar que se propaguen vulnerabilidades a través de la cadena de suministro. Por eso, es importante que los desarrolladores revisen periódicamente sus dependencias y apliquen las actualizaciones disponibles.