CVE-2022-32207
Publiée le 2022-07-07 · Dernière modification le 2026-10-14
Les systèmes utilisant des versions de curl antérieures à la 7.84.0 sont affectés par une faille dans la manière dont les fichiers de cookies et HSTS sont enregistrés sur le disque. Un attaquant pourrait potentiellement exploiter cela pour élargir les permissions de fichiers, permettant ainsi à des utilisateurs non autorisés de lire ou de modifier des données de session sensibles. Cela ne nécessite ni authentification ni interaction de l'utilisateur et peut être déclenché à distance via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
- support@hackerone.com
- support@hackerone.com
- support@hackerone.com
- support@hackerone.com
- support@hackerone.com
- support@hackerone.com
- support@hackerone.com
- support@hackerone.com
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- 0b142b55-0307-4c5a-b3c9-f314f3fb7c5e
- 0b142b55-0307-4c5a-b3c9-f314f3fb7c5e
- 0b142b55-0307-4c5a-b3c9-f314f3fb7c5e
- 0b142b55-0307-4c5a-b3c9-f314f3fb7c5e
- 0b142b55-0307-4c5a-b3c9-f314f3fb7c5e
Description officielle du NVD (en anglais)
When curl < 7.84.0 saves cookies, alt-svc and hsts data to local files, it makes the operation atomic by finalizing the operation with a rename from a temporary name to the final target file name.In that rename operation, it might accidentally *widen* the permissions for the target file, leaving the updated file accessible to more users than intended.