概要

2023/10/3にcurlの開発者であるDaniel Stenberg氏がX（旧twitter）で、
10/11に深刻度がHIGHのCVEの修正を含むcurl 8.4.0をリリースすると発表。
深刻度がHIGHのものは、curlで見つかった過去最悪のセキュリティ上の欠陥とのこと。

私たちはリリースサイクルを短縮し、深刻度HIGHのCVEの修正を含むcurl 8.4.0を10月11日にリリースする予定です。

GitHub Discussionsでのコメント

バージョン 8.4.0では、深刻度がHIGHのものと深刻度がLOWの２つの脆弱性が修正される。
詳細は10/11まで公開できないとのこと。日本時間だと10/11（水）15:00頃に公開予定。

私たちはリリース・サイクルを短縮し、10月11日にcurl 8.4.0をリリースする予定です。HIGHと評価されたものは、おそらく長い間、最悪のcurlのセキュリティ欠陥です。
新しいバージョンと2つのCVEに関する詳細は、リリース日のUTC 6:00頃に公開される予定です。
・CVE-2023-38545: 深刻度 HIGH (libcurl と curl ツールの両方に影響)
・CVE-2023-38546: 深刻度 LOW (libcurl のみに影響し、ツールには影響しません)
今後リリースされるcurlにはAPIやABIの変更はありません。
どのバージョン範囲に影響があるかについては、非常に高い精度で問題（領域）を特定するのに役立つため、前もって情報を開示することはできません。
ここ数年のバージョンは、私が知りうる限り具体的なものです。
私たちはディストロのメーリングリストに通知し、メンバーであるディストリビューションがパッチを準備できるようにしています。(サポート契約と正当な理由がない限り、10月11日以前にこれらの問題の詳細を知ることはできません)。
これでおわかりでしょう。それに従って計画を立ててください。