https://github.com/curl/curl

CVE-2021-22898

LOW 3.1

En bref

Source: NVD
EPSS: EPSS 4.51 % · centile 91 (2026-10-29)
État: PUBLISHED
Publiée: 2021-06-11 15:49 UTC
Mise à jour: 2026-10-14 10:21 UTC
Attribuée par: hackerone
Statut NVD: Modified

Rechercher sur…

Description

curl 7.7 through 7.76.1 suffers from an information disclosure when the `-t` command line option, known as `CURLOPT_TELNETOPTIONS` in libcurl, is used to send variable=content pairs to TELNET servers. Due to a flaw in the option parser for sending NEW_ENV variables, libcurl could be made to pass on uninitialized data from a stack based buffer to the server, resulting in potentially revealing sensitive internal information to the server using a clear-text network protocol.

Faiblesses (CWE)

CWE-200 — Exposition d'informations sensibles à un acteur non autorisé
CWE-909 — Missing Initialization of Resource

Références

Scores

Version	Score	Vecteur	Évalué par
CVSS 3.1	LOW 3.1	CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N	CISA-ADP
CVSS 3.1	LOW 3.1	CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N	NVD · nvd@nist.gov (Primary)
CVSS 3.1	LOW 3.1	CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N	NVD · 134c704f-9b21-4f2e-91b3-4a467353bcc0 (Secondary)
CVSS 2.0	LOW 2.6	AV:N/AC:H/Au:N/C:P/I:N/A:N	NVD · nvd@nist.gov (Primary)

Références européennes

ENISA EUVD · EUVD-2021-10030
GCVE · GCVE-0-2021-22898

Avis du CERT-FR

CERTFR-2026-AVI-1385 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2026-AVI-0218 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2026-AVI-0199 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2023-AVI-1015 — Multiples vulnérabilités dans les produits Siemens · cert.ssi.gouv.fr
CERTFR-2023-AVI-0701 — Multiples vulnérabilités dans Splunk · cert.ssi.gouv.fr
CERTFR-2023-AVI-0428 — Multiples vulnérabilités dans les produits Splunk · cert.ssi.gouv.fr
CERTFR-2022-AVI-386 — Multiples vulnérabilités dans IBM QRadar SIEM · cert.ssi.gouv.fr
CERTFR-2022-AVI-216 — Multiples vulnérabilités dans les produits Siemens · cert.ssi.gouv.fr

Configurations affectées (CPE NVD)

cpe:2.3:a:haxx:curl:*:*:*:*:*:*:*:* ≥ 7.7 ≤ 7.76.1
cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:34:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_cloud_native_core_binding_support_function:1.11.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_cloud_native_core_network_function_cloud_native_environment:1.10.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_cloud_native_core_network_repository_function:1.15.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_cloud_native_core_network_repository_function:1.15.1:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_cloud_native_core_network_slice_selection_function:1.8.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_cloud_native_core_service_communication_proxy:1.15.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:essbase:*:*:*:*:*:*:*:* < 11.1.2.4.047
cpe:2.3:a:oracle:essbase:*:*:*:*:*:*:*:* ≥ 21.0 < 21.3
cpe:2.3:a:oracle:mysql_server:*:*:*:*:*:*:*:* < 5.7.34
cpe:2.3:a:oracle:mysql_server:*:*:*:*:*:*:*:* ≥ 8.0.15 < 8.0.25
cpe:2.3:a:siemens:sinec_infrastructure_network_services:*:*:*:*:*:*:*:* < 1.0.1.1
cpe:2.3:a:splunk:universal_forwarder:*:*:*:*:*:*:*:* ≥ 8.2.0 < 8.2.12
cpe:2.3:a:splunk:universal_forwarder:*:*:*:*:*:*:*:* ≥ 9.0.0 < 9.0.6
cpe:2.3:a:splunk:universal_forwarder:9.1.0:*:*:*:*:*:*:*

Produits affectés

Produit	Versions
https://github.com/curl/curl	affected 7.7 through 7.76.1

Sources

Source	Licence
CVE List (CVEProject cvelistV5)	CVE Program Terms of Use
EPSS (FIRST.org)	FIRST — attribution requested
ENISA EUVD	ENISA — reproduction authorised, source acknowledged
CERT-FR (ANSSI)	Licence Ouverte / Etalab 2.0
NVD (NIST) via fkie-cad/nvd-json-data-feeds	Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD

🟢 https://github.com/curl/curl