AWS SigV4 Signature Disclosure via Verbose Logging in libcurl
该报告还没有中文解读。
原文摘录
摘自原文（2426 字符中的一小部分）
When libcurl is built with AWS SigV4 support, enabling **verbose logging** (`CURLOPT_VERBOSE` or `--verbose`) causes the library to print both the **string-to-sign** and the **final HMAC signature** into logs.
原文中的代码
AWS_ACCESS_KEY_ID=AWS_ACCESS_KEY... \
AWS_SECRET_ACCESS_KEY=SECRET... \
curl --aws-sigv4 "aws:amz:us-east-1:s3" \
--verbose \
https://s3.amazonaws.com/默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 curl 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @leftyha · 版权归作者与 curl 所有