Mozilla利用自家的黑客来对cURL文件传输工具包进行了一系列的安全性审核，在审核中，黑客们发现并修补了四个远程代码执行漏洞。

cURL文件传输库在浏览器中被广泛使用，在Mozilla给出的cURL安全审计报告中总共揭露了九个严重程度不一的漏洞。其中有4个高危漏洞，4个中危漏洞，1个低危漏洞。

这4个高危漏洞会导致远程代码执行出现潜在的攻击，除此之外，黑客们还发现了TLS漏洞。由于拥有strequal()的ConnectionExists()比较密码存在缺陷，所以是这方面的攻击就显得非常隐蔽。剩余的七个补丁中，有两个漏洞被合并到迄今为止最大的cURL修复中。

审计出来的这9个漏洞分别是：

CRL -01-021 UAF共享Cookie锁定不完整（高）
CRL -01-005  OOB在写入时不检查base 64_ encode ()的乘法（高）
CRL -01-009 缺少realloc 的double-free in krb 5 read _ data()（高）
CRL -01-014 unescape _ word ()整数溢出为负（高）
CRL -01-001 为其他服务器注入Cookie（中）
CRL -01-007 double型aprintf()漏洞（中）
CRL -01-013 整数溢出导致等分截断（中）
CRL -01-002 拥有strequal()的ConnectionExists()比较密码（中）
CRL -01-011 FTPS TLS会话重用（低）

cURL主要开发人员和Mozilla的工程师Daniel Stenberg都表示还有更多的漏洞需要来修补。Stenberg说：“在逐一解决这些问题的同时，我们还得到了三位关注cURL安全的人员所发现的四个问题。因为漏洞无处不在，所以等到目前的这些问题解决完了，我们还会再找机会进行其他方面的漏洞修补。”

来自柏林的Cure53团队（Cure53：德国安全审计和渗透测试服务商，曾发现韩国儿童监控定位APP“智慧警长”（Smart Sheriff）和手机通讯软件Peerio漏洞）的五位Mozilla工程师也参与了其中，对cURL的源代码进行了为期20天的审计。

在审计中Cure53的这些工程师表示：

本次对源代码的检测主要集中在cURL文件传输工具包在实际使用的过程中最容易出现漏洞被攻击的那一部分，所以我们对身份验证，各种协议以及部分SSL / TLS的来源都进行了相当详细的分析，与此同时，我们可以确定cURL库的整体安全性和稳定性是相当好的，用户大可以放心使用。

Stenberg说：“他此次申请对cURL进行审核，就是担心最近一系列安全漏洞报告指向的都是未被发现的潜在漏洞。”

该安全漏洞报告于9月23日发布后，其中所出现的漏洞会在随后的几个月内被修复。cURL主要开发人员说：“这是由于我们对于cURL缺乏检查以及升级的补丁对cURL的审核”

Stenberg说：“之所以会出现这样的漏洞主要是因为目前参与cURL的人并没有那么多，而且也很有人关注cURL，另外我们审核只是一些基础性的东西，而真正实用的那部分公共代码只有等合并到git公共库才能进行真正的检测”。