CVE-2022-42916 (CNNVD-202210-2216)

HIGH
中文标题:
curl 安全漏洞
英文标题:
In curl before 7.86.0, the HSTS check could be bypassed to trick it into staying with HTTP. Using it...
CVSS分数: 7.5
发布时间: 2022-10-29 00:00:00
漏洞类型: 其他
状态: PUBLISHED
数据质量分数: 0.30
数据版本: v3
漏洞描述
中文描述:

curl是一款用于从服务器传输数据或向服务器传输数据的工具。 curl存在安全漏洞，该漏洞源于HSTS检查可以被绕过以欺骗它继续使用HTTP。

英文描述:

In curl before 7.86.0, the HSTS check could be bypassed to trick it into staying with HTTP. Using its HSTS support, curl can be instructed to use HTTPS directly (instead of using an insecure cleartext HTTP step) even when HTTP is provided in the URL. This mechanism could be bypassed if the host name in the given URL uses IDN characters that get replaced with ASCII counterparts as part of the IDN conversion, e.g., using the character UTF-8 U+3002 (IDEOGRAPHIC FULL STOP) instead of the common ASCII full stop of U+002E (.). The earliest affected version is 7.77.0 2021-05-26.

CWE类型:
CWE-319
标签:
（暂无数据）
受影响产品
厂商 产品 版本 版本范围 平台 CPE
haxx curl * - - cpe:2.3:a:haxx:curl:*:*:*:*:*:*:*:*
fedoraproject fedora 35 - - cpe:2.3:o:fedoraproject:fedora:35:*:*:*:*:*:*:*
fedoraproject fedora 36 - - cpe:2.3:o:fedoraproject:fedora:36:*:*:*:*:*:*:*
fedoraproject fedora 37 - - cpe:2.3:o:fedoraproject:fedora:37:*:*:*:*:*:*:*
apple macos * - - cpe:2.3:o:apple:macos:*:*:*:*:*:*:*:*
splunk universal_forwarder * - - cpe:2.3:a:splunk:universal_forwarder:*:*:*:*:*:*:*:*
splunk universal_forwarder 9.1.0 - - cpe:2.3:a:splunk:universal_forwarder:9.1.0:*:*:*:*:*:*:*
解决方案
中文解决方案:
（暂无数据）
英文解决方案:
（暂无数据）
临时解决方案:
（暂无数据）
参考链接
无标题 OTHER
cve.org
访问
FEDORA-2022-01ffde372c vendor-advisory
cve.org
访问
FEDORA-2022-39688a779d vendor-advisory
cve.org
访问
FEDORA-2022-e9d65906c4 vendor-advisory
cve.org
访问
无标题 OTHER
cve.org
访问
GLSA-202212-01 vendor-advisory
cve.org
访问
[oss-security] 20221221 curl: CVE-2022-43551: Another HSTS bypass via IDN mailing-list
cve.org
访问
无标题 OTHER
cve.org
访问
无标题 OTHER
cve.org
访问
20230123 APPLE-SA-2023-01-23-5 macOS Monterey 12.6.3 mailing-list
cve.org
访问
20230123 APPLE-SA-2023-01-23-4 macOS Ventura 13.2 mailing-list
cve.org
访问
CVSS评分详情
7.5
HIGH
CVSS向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS版本: 3.1
机密性
HIGH
完整性
NONE
可用性
NONE
时间信息
发布时间:
2022-10-29 00:00:00
修改时间:
2024-08-03 13:19:05
创建时间:
2025-11-11 15:37:48
更新时间:
2025-11-11 15:57:35
利用信息
暂无可利用代码信息
数据源详情
数据源 记录ID 版本 提取时间
CVE cve_CVE-2022-42916 2025-11-11 15:21:37 2025-11-11 07:37:48
NVD nvd_CVE-2022-42916 2025-11-11 14:58:27 2025-11-11 07:45:59
CNNVD cnnvd_CNNVD-202210-2216 2025-11-11 15:11:02 2025-11-11 07:57:35
版本与语言
当前版本: v3
主要语言: EN
支持语言:
EN ZH
安全公告
暂无安全公告信息
变更历史
v3 CNNVD
2025-11-11 15:57:35
vulnerability_type: 未提取 → 其他; cnnvd_id: 未提取 → CNNVD-202210-2216; data_sources: ['cve', 'nvd'] → ['cnnvd', 'cve', 'nvd']
查看详细变更
  • vulnerability_type: 未提取 -> 其他
  • cnnvd_id: 未提取 -> CNNVD-202210-2216
  • data_sources: ['cve', 'nvd'] -> ['cnnvd', 'cve', 'nvd']
v2 NVD
2025-11-11 15:45:59
severity: SeverityLevel.MEDIUM → SeverityLevel.HIGH; cvss_score: 未提取 → 7.5; cvss_vector: NOT_EXTRACTED → CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N; cvss_version: NOT_EXTRACTED → 3.1; affected_products_count: 0 → 7; data_sources: ['cve'] → ['cve', 'nvd']
查看详细变更
  • severity: SeverityLevel.MEDIUM -> SeverityLevel.HIGH
  • cvss_score: 未提取 -> 7.5
  • cvss_vector: NOT_EXTRACTED -> CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
  • cvss_version: NOT_EXTRACTED -> 3.1
  • affected_products_count: 0 -> 7
  • data_sources: ['cve'] -> ['cve', 'nvd']