Vulnerabilidade no curl não era tão grave quanto se temia

Todos os utilizadores devem actualizar o curl e libcurl, mas os riscos efectivos não são tão problemáticos como se temia inicialmente.

O curl é um dos mais populares utilitários da linha de comandos, permitindo fazer ligação a sites e transferir dados usando diversos protocolos. Daí que todos ficassem em estado de alerta quando se soube que tinha sido descoberta a "pior vulnerabilidade de sempre" no curl, que poderia deixar milhões de pessoas e dispositivos em risco.

Já foi disponibilizada uma versão corrigida do curl (8.4.0) que resolve o assunto, mas mesmo nos casos em que não for possível actualizar o curl a situação poderá não ser tão grave quanto se imaginava. Isto porque a vulnerabilidade precisa de um conjunto de condições para ser explorada, a começar pelo uso do SOCKS5 (o que não será normal para a maioria dos utilizadores), e de ter uma ligação SOCKS5 lenta para o site remoto. Isso, por si só, invalidará o aproveitamento da vulnerabilidade para a maioria dos casos. Adicionalmente, mesmo nos casos em que a vulnerabilidade possa ser explorada, o mais certo é que um atacante apenas consiga fazer crashar o processo ou sistema, e não conseguir a execução de código remoto malicioso.

De qualquer forma, e como referido no início, todos os utilizadores deverão actualizar os seus sistemas de modo a ter a versão corrigida do curl. Sendo facilmente explorável ou não, quanto menos vulnerabilidades conhecidas estiverem presentes num sistema, melhor!