curl: Verbindungswiederverwendung mit falscher lokaler Schnittstellenbindung

Zusammenfassung

curl und libcurl beziehen die lokale Schnittstellenbindung (CURLOPT_INTERFACE oder --interface mit den Präfixen if!, host! oder ifhost!) nicht in den Schlüssel zur Wiederverwendung von Verbindungen ein. Eine spätere Übertragung, die eine andere Quelle verlangt, kann daher stillschweigend eine bestehende Verbindung wiederverwenden und Datenverkehr mit der Quelladresse der früheren Übertragung senden. Betroffen sind nur Anwendungen, die diese Optionen für die Quellenbindung einzelner Übertragungen nutzen, etwa Systeme mit mehreren Netzwerkschnittstellen, VPN- oder richtlinienbasiertes Routing oder Umgebungen, die die Quell-IP für Allow-Listen verwenden. Der Hersteller stuft das Problem als Low ein und ordnet es CWE-488 zu, während der Eintrag in diesem Tracker CVSS 8.1 (HIGH) ausweist; die Priorität sollte deshalb anhand des NVD-Eintrags geprüft werden.

Betroffen

• curl 8.9.0 bis und mit 8.22.0 (Angaben des Herstellers)
• Nicht betroffen: curl-Versionen vor 8.9.0 sowie 8.23.0 oder neuer
• Nicht betroffen: 8.20.2 oder neuer im 8.20.X-Zweig, 8.16.2 oder neuer im 8.16.X-Zweig, 8.14.3 oder neuer im 8.14.X-Zweig
• Betroffen: das Kommandozeilenprogramm curl und auf libcurl basierende Anwendungen
• Die Distributionen unterscheiden sich: Debian bookworm nicht betroffen, Debian trixie weiterhin als verwundbar aufgeführt, Debian sid mit 8.23.0-1 behoben; die Einträge von Ubuntu und Red Hat variieren, daher ist die Sicherheitsmitteilung der jeweiligen Distribution zu prüfen

Behoben in

• curl 8.23.0 (veröffentlicht am 14. Oktober 2026)
• Upstream-Patch: Commit d37d79df1e01066417aff0a9e
• Debian sid: 8.23.0-1
• Ubuntu 26.04 LTS: 8.18.0-1ubuntu2.8 (gemäss der Ubuntu-Mitteilung; in dieser Prüfung nicht bestätigt)
• Ubuntu 26.10: 8.20.0-2ubuntu11.1 (gemäss der Ubuntu-Mitteilung)
• Red Hat gehärtete Images: 8.23.0-0.1.hum1 (kein standardmässiger RHEL-Errata gefunden)

Umgehung

• CURLOPT_INTERFACE und die Option --interface vermeiden, wie vom Hersteller empfohlen
• Anwendungen prüfen, die Übertragungen an eine bestimmte Quelladresse binden, und diese Bindung dort entfernen, wo sie nicht benötigt wird

Ausnutzung

• Die CISA-SSVC-Bewertung führt die Ausnutzung als 'poc' und die Automatisierbarkeit als 'no'
• Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept für diese CVE gefunden
• Die Voraussetzungen für Angreifer sind in der Sicherheitsmitteilung nicht angegeben und somit unbekannt

Unsere Empfehlung

• Systeme, Skripte und Produkte ermitteln, die libcurl einbinden oder curl mit --interface aufrufen, und deren Versionen erfassen
• Auf curl 8.23.0 oder ein korrigiertes Distributionspaket aktualisieren oder den Upstream-Patch anwenden
• Wo ein Update nicht möglich ist, die Optionen zur Schnittstellenbindung entfernen oder vermeiden
• Die Priorität vor der internen Kommunikation anhand des NVD-Eintrags und der Einstufung Low des Herstellers prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• curl security advisory CVE-2026-107929 curl.se
• curl CVE metadata (JSON) curl.se
• Original report (HackerOne) hackerone.com
• curl changes curl.se
• Debian security tracker security-tracker.debian.org
• Ubuntu security notice ubuntu.com
• Linux Security advisory for Ubuntu linuxsecurity.com
• Red Hat RHSA-2026:82895 (via Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:36.