curl: HTTP/2-Sicherheitslücke in Anwendungen prüfen

DER VERÖFFENTLICHTE HINWEIS

Was die Quelle beschreibt.

Laut Hersteller kann ein Fehler bei der Verarbeitung bestimmter Serverantworten auf bereits freigegebenen Speicher zugreifen. Unter spezifischen technischen Bedingungen ist Codeausführung möglich. Betroffen sind die regulären Versionen 8.12.0 bis einschließlich 8.22.0; 8.23.0 enthält die Korrektur. Für gepflegte Sonderzweige nennt das Advisory weitere korrigierte Versionen. Der Hinweis allein belegt keinen Angriff auf Ihr Unternehmen.

UNSERE EINORDNUNG

Was das für Ihr Unternehmen bedeutet.

Die Frage für Ihr Unternehmen lautet: Welche unserer Programme oder Dienste verwenden die betroffene Bibliothek und führen entsprechende Übertragungen aus? Eine sichtbare Website-Adresse verrät nicht, welche Bibliotheken in internen Prozessen oder Herstellerprodukten stecken. Auch ein erfolgreicher Domain-Check beantwortet diese Frage nicht.

Vier Fragen für Ihre IT.

1. 01

   Zuständige IT oder Softwareanbieter fragen, wo curl beziehungsweise libcurl eingesetzt wird; auch Anwendungen und Container berücksichtigen.

2. 02

   Installierte Version und mögliche Herstellerkorrekturen mit dem Advisory abgleichen. Bei Distributionspaketen zählt auch ein nachgelieferter Patch, nicht allein die sichtbare Versionsnummer.

3. 03

   Ein freigegebenes korrigiertes Paket einspielen und die betroffenen Anwendungen nach Herstellervorgabe neu laden oder starten.

4. 04

   Wichtige Übertragungsabläufe nach der Änderung testen und Version, Verantwortlichkeit sowie verbleibende Ausnahmen dokumentieren.