Un nouveau tournant demain permettra de corriger la plus grave faille de sécurité de tous les temps.

Mettez à jour vos moteurs de patch – une nouvelle version de curl sortira demain avec une paire de failles, dont Daniel Stenberg, le développeur principal, décrit une comme étant « probablement la pire faille de sécurité curl depuis longtemps ». Curl 8.4.0 sortira vers 0600 UTC (0800 CEST, 0700 BST, 0200 EST, 2300 PDT) le 11 octobre et corrigera CVE-2023-38545, qui affecte à la fois libcurl et l’outil curl, ainsi que CVE-2023-38546, qui n’affecte que libcurl. La version n’a aucun changement API ou ABI, de sorte que la mise à jour devrait s’insérer sans trop d’agitation. CVE-2023-38545 est classé comme un CVE de haute gravité. Stenberg n’a divulgué aucune information sur l’une ou l’autre faille, à l’exception du fait que le processus de développement normal a dû être interrompu pour sortir les correctifs aussi rapidement que possible. Curl est utilisé quotidiennement par pratiquement chaque humain utilisant internet sur la planète.