Проектът curl пусна версия curl 8.23.0 на 14 октомври 2026 г., обявявайки 24 корекции за сигурност, засягащи широко използвания инструмент за пренос на данни и неговата базова библиотека libcurl.
Уязвимостите включват изтичане на идентификационни данни, грешки при удостоверяване, инжектиране на команди и дефекти, които могат да нарушат работата на приложенията. Новата версия също така премахва поддръжката на протоколите SMB и SMBS, което прави проверките за съвместимост изключително важни преди внедряване.
Според компанията за сигурност AISLE тя е открила 18 от уязвимостите, обявени с тази версия, което представлява 75 процента от общия брой.
Нейният специализиран одит доведе до 24 CVE идентификатора в рамките на две версии, като шест бяха адресирани в curl 8.22.0, а други осемнадесет са свързани с 8.23.0. Тези данни описват констатациите от одита на AISLE, а не пълния брой корекции за сигурност за двете версии.
Уязвимости в сигурността на curl
Един от забележителните дефекти, CVE-2026-86414, позволява на HTTP прокси да подведе libcurl да предаде идентификационни данни, предназначени за целевия сървър.
По време на CONNECT тунелна заявка проксито може да върне отговор 401 със заглавка WWW-Authenticate вместо очаквания отговор за прокси автентикация.
Това може да разкрие парола за Basic автентикация или билет за Negotiate/Kerberos. Проблемът засяга версии от 7.10.8 до 8.22.0.
Друга уязвимост, CVE-2026-94266, може да разкрие пароли чрез CURLINFO_EFFECTIVE_URL, когато curl извлича идентификационни данни от .netrc файл. Инструментът за команден ред може да разкрие същата информация чрез своята изходна променлива url_effective.
Приложенията, които записват тези върнати URL адреси, биха могли по този начин да запишат идентификационни данни в лог файловете си. Засегнати са версии от 7.62.0 до 8.22.0.
Тези констатации задълбочават повтарящ се проблем със сигурността при обработката на идентификационни данни. Cybersecurity News по-рано отрази изтичане на пароли в curl, свързано с пренасочвания и .netrc файлове, при което идентификационните данни можеха да достигнат до непредвиден хост при определени условия.
Официалният бюлетин за CVE-2026-87864 описва дефект за инжектиране на IMAP команди при качване на съобщения и използване на CURLOPT_CRLF. Curl е декларирал оригиналния размер на съобщението, но е изпращал допълнителни байтове след преобразуване на окончанията на редовете.
Пощенският сървър би могъл да интерпретира тези допълнителни байтове като команди в рамките на удостоверената сесия. Това касае IMAP команди, а не системни shell команди на операционната система.
Важно е да се отбележи, че този дефект вече беше отстранен в curl 8.22.0, въпреки че официалният бюлетин бе публикуван на 14 октомври. Той засяга версии от 7.30.0 до 8.21.0 и е с ниска степен на сериозност. Документираното временно решение е избягването на CURLOPT_CRLF с IMAP. Наскоро cURL коригира 25-годишна уязвимост във версия 8.21.0.
Други констатации на AISLE включват остарели заглавки за подписване на AWS, преминаване на идентификационни данни през граници на пренасочване, объркване на клиентски сертификати, повредено съхранение на бисквитки и неправилна обработка на HSTS кеша. Допълнителни проблеми могат да предизвикат безкраен цикъл или изчерпване на стека на процеса. Тези сривове често възникват, когато настройките или състоянието на връзката се запазват след промяна на дестинацията или идентичността.
| CVE ID | Уязвимост | Засегната функция | Въздействие върху сигурността |
|---|---|---|---|
| CVE-2026-86409 | Остарели заглавки AWS SigV4 се изпращат до непредвидена дестинация | Подписване на заявки към AWS | Заглавките за автентикация могат да останат прикрепени към заявка след промяна на нейната дестинация. |
| CVE-2026-86410 | Пренасочване заобикаля SSH проверката на хоста | SFTP и SCP пренасочвания | Пренасочена връзка може да пропусне проверката на хоста, необходима за потвърждаване на самоличността на отдалечения сървър. |
| CVE-2026-86411 | Повторно използвана FTP връзка наследява клиентски сертификат | Повторно използване на FTP връзка | Трансфер може повторно да използва връзка, удостоверена с клиентски сертификат от предишна конфигурация. |
| CVE-2026-86412 | Зададена от сървъра бисквитка изтрива хранилището за бисквитки | Съхранение на бисквитки | Предоставена от сървъра бисквитка може да доведе до изтриване на съхранените бисквитки. |
| CVE-2026-86413 | Идентификационни данни за Negotiate се изпращат към пренасочен източник | Пренасочвания и автентикация чрез Negotiate | Информация за удостоверяване може да достигне дестинация, която не би трябвало да я получава. |
| CVE-2026-86414 | Идентификационни данни за хоста изтичат към HTTP прокси | Обработка на HTTP прокси CONNECT | Прокси може да придобие идентификационни данни, предназначени за целевия сървър, включително пароли за Basic автентикация или Negotiate/Kerberos билети. |
| CVE-2026-86415 | Объркване при автоматично повторно използване на връзка с клиентски сертификат | Клиентски сертификати и повторно използване на връзки | Връзка може да бъде използвана повторно с грешна идентичност на клиентски сертификат. |
| CVE-2026-87862 | Импортирането на HSTS кеш отхвърля запис за поддомейн с по-дълъг живот | Зареждане на HSTS кеш | Съществуващ запис за поддомейн с по-дълъг срок на валидност може да бъде изгубен по време на импортиране на кеша. |
| CVE-2026-87863 | HSTS отговор изтрива запазени записи | Персистентност на HSTS кеша | Обработката на HSTS отговор от сървър може да изтрие съхранени записи за налагане на HTTPS. |
| CVE-2026-87864 | Инжектиране на команда IMAP APPEND по време на конвертиране на CRLF | IMAP качвания и CURLOPT_CRLF | Несъответствие между декларирания размер на съобщението и предадените байтове може да позволи излишните байтове да се превърнат в IMAP команди в удостоверена сесия. Това не представлява инжектиране на shell команди в операционната система. |
| CVE-2026-92386 | Зададена от сървъра бисквитка прекратява зареждането на хранилището за бисквитки | Зареждане на файл с бисквитки | Предоставена от сървъра бисквитка може да прекъсне зареждането на съхранените бисквитки. |
| CVE-2026-92387 | Липсващи данни в отговора на сървъра причиняват безкраен цикъл | Обработка на отговори от сървъра | Засегнатата операция може да блокира в безкраен цикъл, нарушавайки работата на приложението. |
| CVE-2026-92388 | Объркване на колбек функцията за запис при FTP маски | Трансфери с маски във FTP | Данните от трансфера могат да достигнат до неправилна колбек функция за запис на приложението. |
| CVE-2026-92389 | Объркване на посоката на TFTP трансфер | TFTP трансфери | Curl може да обърка предвидената посока на трансфера, което води до неправилно поведение на протокола. |
| CVE-2026-92390 | Защитата срещу презаписване -J е заобиколена чрез 103 Early Hints | HTTP заглавки за отговор и обработка на изходни файлове | Отговор с HTTP 103 Early Hints може да заобиколи защитата, предназначена да предотврати презаписването на съществуващ файл. |
| CVE-2026-92391 | Рекурсивни извиквания на curl_mime_free изчерпват стека | MIME освобождаване | Рекурсивното освобождаване на памет може да изчерпи стека на процеса и да срине приложението. |
| CVE-2026-94265 | Заглавка Authorization: Negotiate се изпраща към външен източник | HTTP автентикация чрез Negotiate | Заглавка за удостоверяване може да бъде изпратена до различен източник, който не би трябвало да я получава. |
| CVE-2026-94266 | Изтичане на парола чрез CURLINFO_EFFECTIVE_URL | Отчитане на ефективен URL и .netrc идентификационни данни | Върнатите URL адреси могат да разкрият пароли, потенциално записвайки ги в логовете на приложението или в изхода на командния ред. |
Администраторите трябва да обновят засегнатите инсталации на curl и libcurl до версия 8.23.0 или да инсталират съответните корекции за сигурност. Необходимо е да се проверят приложенията, които съдържат вградена libcurl, тъй като актуализирането на самостоятелния инструмент може да остави вградените копия непроменени.
Прегледайте настройките за прокси автентикация, записване на идентификационни данни в лог файлове и IMAP качвания при планиране на внедряването. Преди пускане в експлоатация проверете официалното съобщение за версията за евентуални промени в съвместимостта.