CVE-2025-5025
CVE-2025-5025 · No QUIC certificate pinning with wolfSSL
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
libcurl supports *pinning* of the server certificate public key for HTTPS transfers. Due to an omission, this check is not performed when connecting with QUIC for HTTP/3, when the TLS backend is wolfSSL. Documentation says the option works with wolfSSL, failing to specify that it does not for QUIC and HTTP/3. Since pinning makes the transfer succeed if the pin is fine, users could unwittingly connect to an impostor server without noticing.
CVSS 4.8 · Средний · EPSS 0,3% · Есть исправление
- Опубликовано
- Обновлено
Стек: system
Затронутые продукты и версии
curl
- Версии
- ≥ 8.13.0, ≤ 8.13.0: Затронуто (semver)
- ≥ 8.12.1, ≤ 8.12.1: Затронуто (semver)
- ≥ 8.12.0, ≤ 8.12.0: Затронуто (semver)
- ≥ 8.11.1, ≤ 8.11.1: Затронуто (semver)
- ≥ 8.11.0, ≤ 8.11.0: Затронуто (semver)
- ≥ 8.10.1, ≤ 8.10.1: Затронуто (semver)
- ≥ 8.10.0, ≤ 8.10.0: Затронуто (semver)
- ≥ 8.9.1, ≤ 8.9.1: Затронуто (semver)
- ≥ 8.9.0, ≤ 8.9.0: Затронуто (semver)
- ≥ 8.8.0, ≤ 8.8.0: Затронуто (semver)
- ≥ 8.7.1, ≤ 8.7.1: Затронуто (semver)
- ≥ 8.7.0, ≤ 8.7.0: Затронуто (semver)
- ≥ 8.6.0, ≤ 8.6.0: Затронуто (semver)
- ≥ 8.5.0, ≤ 8.5.0: Затронуто (semver)
Нет опубликованного исправления
curl Debian:13
- Затронутые диапазоны версий
- ECOSYSTEM: < 8.14.0-1
Обновитесь до 8.14.0-1
curl Debian:14
- Затронутые диапазоны версий
- ECOSYSTEM: < 8.14.0-1
Обновитесь до 8.14.0-1