curl curl

CVE-2023-38039

HIGH 7.5

En bref

Source: NVD
EPSS: EPSS 56.37 % · centile 99 (2026-10-29)
État: PUBLISHED
Publiée: 2023-09-15 03:21 UTC
Mise à jour: 2025-12-02 20:06 UTC
Attribuée par: hackerone
Statut NVD: Modified

Rechercher sur…

Description

When curl retrieves an HTTP response, it stores the incoming headers so that they can be accessed later via the libcurl headers API. However, curl did not have a limit in how many or how large headers it would accept in a response, allowing a malicious server to stream an endless series of headers and eventually cause curl to run out of heap memory.

Faiblesses (CWE)

CWE-770 — Allocation de ressources sans limite ni régulation

Références

Scores

Version	Score	Vecteur	Évalué par
CVSS 3.1	HIGH 7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H	CISA-ADP
CVSS 3.1	HIGH 7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H	NVD · nvd@nist.gov (Primary)
CVSS 3.1	HIGH 7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H	NVD · 134c704f-9b21-4f2e-91b3-4a467353bcc0 (Secondary)

Références européennes

ENISA EUVD · EUVD-2023-41865
GCVE · GCVE-0-2023-38039

Avis du CERT-FR

CERTFR-2025-AVI-0969 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2025-AVI-0641 — Multiples vulnérabilités dans les produits Splunk · cert.ssi.gouv.fr
CERTFR-2024-AVI-0325 — Multiples vulnérabilités dans Oracle PeopleSoft · cert.ssi.gouv.fr
CERTFR-2024-AVI-0228 — Multiples vulnérabilités dans IBM · cert.ssi.gouv.fr
CERTFR-2024-AVI-0119 — Multiples vulnérabilités dans les produits Siemens · cert.ssi.gouv.fr
CERTFR-2024-AVI-0062 — Multiples vulnérabilités dans les produits Apple · cert.ssi.gouv.fr
CERTFR-2023-AVI-0976 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2023-AVI-0889 — Multiples vulnérabilités dans les produits Tenable · cert.ssi.gouv.fr
CERTFR-2023-AVI-0860 — Multiples vulnérabilités dans Oracle Database Server · cert.ssi.gouv.fr

Configurations affectées (CPE NVD)

cpe:2.3:a:haxx:curl:*:*:*:*:*:*:*:* ≥ 7.84.0 < 8.3.0
cpe:2.3:o:fedoraproject:fedora:37:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:38:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:39:*:*:*:*:*:*:*
cpe:2.3:o:microsoft:windows_10_1809:*:*:*:*:*:*:*:* < 10.0.17763.5122
cpe:2.3:o:microsoft:windows_10_21h2:*:*:*:*:*:*:*:* < 10.0.19044.3693
cpe:2.3:o:microsoft:windows_10_22h2:*:*:*:*:*:*:*:* < 10.0.19045.3693
cpe:2.3:o:microsoft:windows_11_21h2:*:*:*:*:*:*:*:* < 10.0.22000.2600
cpe:2.3:o:microsoft:windows_11_22h2:*:*:*:*:*:*:*:* < 10.0.22621.2715
cpe:2.3:o:microsoft:windows_11_23h2:*:*:*:*:*:*:*:* < 10.0.22631.2715
cpe:2.3:o:microsoft:windows_server_2019:*:*:*:*:*:*:*:* < 10.0.17763.5122
cpe:2.3:o:microsoft:windows_server_2022:*:*:*:*:*:*:*:* < 10.0.20348.2113

Produits affectés

Produit	Versions
curl · curl	affected 8.3.0 < 8.3.0 ; unaffected 7.84.0 < 7.84.0

Sources

Source	Licence
CVE List (CVEProject cvelistV5)	CVE Program Terms of Use
EPSS (FIRST.org)	FIRST — attribution requested
ENISA EUVD	ENISA — reproduction authorised, source acknowledged
CERT-FR (ANSSI)	Licence Ouverte / Etalab 2.0
NVD (NIST) via fkie-cad/nvd-json-data-feeds	Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD

⚠️ curl curl