CVE-2021-22922

Cuando es instruido a curl descargar un contenido usando la funcionalidad metalink, el contenido es comprobado con un hash proporcionado en el archivo XML metalink. El archivo XML metalink indica al cliente cómo obtener el mismo contenido de un conjunto de URLs diferentes, potencialmente alojadas en distintos servidores y el cliente puede entonces descargar el archivo de uno o varios de ellos. En una manera paralela o en serie. Si uno de los servidores que aloja el contenido ha sido violado y el contenido del archivo específico en ese servidor es reemplazado por una carga útil modificada, Curl debería detectar esto cuando el hash del archivo no coincide después de una descarga completa. Debería eliminar los contenidos y tratar de obtenerlo de otra URL. Esto no se hace, y en su lugar, tal desajuste de hash sólo se menciona en el texto y el contenido potencialmente malicioso se mantiene en el archivo en el disco

A flaw was found in curl in the way curl handles a file hash mismatch after downloading content using the Metalink feature. This flaw allows malicious actors controlling a hosting server to trick users into downloading malicious content. The highest threat from this vulnerability is to integrity.