Daniel Stenberg ผู้ดูแลโครงการ Curl เล่าถึงประสบการณ์เถียงกับผู้รายงานช่องโหว่ความปลอดภัยที่เอาแต่อยากได้เลข CVE (Common Vulnerabilities and Exposures - หมายเลขอ้างอิงช่องโหว่ความปลอดภัย) ที่เป็นปัญหาเรื้อรังของวงการซอฟต์แวร์โอเพนซอร์ส โดยชี้แจงถึงเหตุผลที่ Curl ไม่ให้เลข CVE กับรายงานบางตัวแม้ผู้รายงานจะอ้างว่าเป็นช่องโหว่ความปลอดภัยก็ตาม

Curl เป็นโครงการซอฟต์แวร์ที่ออกเลขช่องโหว่ความปลอดภัยด้วยตัวเอง จากการเป็น CVE Numbering Authority (CNA) ตั้งแต่ปี 2024 การเป็น CNA ทำให้นักวิจัยต้องติดต่อ Curl เพื่อขอหมายเลขอ้างอิงโดยตรง ไม่ได้ขอหมายเลขผ่านตัวกลางเช่น MITRE และที่ผ่านมาก็ออกหมายเลขไปแล้ว 57 รายการ แต่ล่าสุดเกิดเหตุขัดแย้งกับผู้รายงานช่องโหว่ที่ต้องการหมายเลข CVE แต่ทาง Curl ไม่ออกให้ เนื่องจากมองเป็นบั๊กปกติ ความเสี่ยงความปลอดภัย "ต่ำยิ่งกว่าต่ำ"

บั๊กที่ผู้รายงานโต้แย้งนี้ เป็นบั๊กที่ Curl ยอมให้ใช้ใบรับรองเข้ารหัสแบบ Wildcard หากชื่อโดเมนเริ่มด้วยจุด เช่น .blognone.com จะสามารถใช้ใบรับรอง *.blognone.com ได้ ผู้รายงานยืนยันว่าเป็นช่องโหว่เนื่องจาก Curl ยอมรับใบรับรองอย่างไม่ถูกต้อง แต่ Curl มองว่าเป็นเพียงบั๊ก เนื่องจากชื่อโดเมนที่ขึ้นต้นด้วยจุดนั้นใช้กับ DNS ปกติไม่ได้ มีเพียงกรณีเดียว คือเหยื่อต้องคอนฟิก host file บนเครื่องตัวเอง ชี้ไปยังเซิร์ฟเวอร์ที่ถือใบรับรองแบบ wildcard เอาไว้ Curl จึงยอมเชื่อมต่อด้วยใบรับรอง wildcard นั้น

ผู้รายงานพยายามขอเลข CVE จาก Curl แต่ถูกปฏิเสธ จากนั้นจึงอุทธรณ์ไปยัง MITRE อีกหลายครั้ง และในที่สุดทาง MITRE ก็ตัดสินว่ารายงานนี้ไม่ใช่ช่องโหว่ความปลอดภัย

ที่มา - haxx.se