curl libcurl: Informationspreisgabe durch veralteten AWS-SigV4-Authorization-Header

Zusammenfassung

libcurl entfernt die SigV4-Authentifizierung nicht, wenn CURLOPT_AWS_SIGV4 auf NULL gesetzt wird. Dadurch sendet die nächste Übertragung über denselben Easy-Handle weiterhin einen Authorization: AWS4-HMAC-SHA256-Header. Ein Angreifer, der die Ziel-URL einer solchen Anfrage beeinflussen kann, erhält die Zugangsschlüssel-ID und eine anfragegebundene Signatur; der geheime Schlüssel wird nicht übertragen. Die Schwachstelle setzt voraus, dass eine Anwendung den Handle wiederverwendet, CURLOPT_USERPWD-Zugangsdaten behält, sich auf das NULL-Zurücksetzen verlässt und danach eine vom Angreifer beeinflusste URL aufruft. Das curl-Kommandozeilenwerkzeug ist nicht betroffen.

Betroffen

• curl 7.75.0 bis einschliesslich 8.21.0 (libcurl)
• Nicht betroffen: curl vor 7.75.0, 8.22.0 und neuer, 8.20.2 und neuer im 8.20.X-Zweig, 8.16.2 und neuer im 8.16.X-Zweig, 8.14.3 und neuer im 8.14.X-Zweig

Behoben in

• curl 8.22.0
• Patch-Commit c3c70440e8d9938c0bb732595751e8aebc614f24
• Backports pro Zweig: 8.14.3, 8.16.2, 8.20.2
• Der Status der Korrektur in Distributionen variiert; beim jeweiligen Hersteller prüfen

Umgehung

• Sicherstellen, dass die Anwendung CURLOPT_AWS_SIGV4 nie auf NULL setzt, um SigV4 zu deaktivieren (offizielle Empfehlung des Herstellers)
• Den Patch auf die lokale libcurl-Version anwenden, falls kein Upgrade möglich ist

Ausnutzung

• Die CISA-SSVC-Bewertung führt die Ausnutzung als 'poc' und die Automatisierbarkeit als 'no'
• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden
• In der Recherche wurde kein öffentlicher Proof of Concept gefunden

Unsere Empfehlung

• Prüfen, ob libcurl in eigener Software, Containern oder Appliances von Lieferanten eingebettet ist, nicht nur das Betriebssystem-Paket von curl
• libcurl im normalen Update-Zyklus auf 8.22.0 oder einen korrigierten Backport aktualisieren oder den Patch einspielen
• Code überprüfen, der AWS-ähnliche APIs mit SigV4 aufruft und Handles für Anfragen an vom Benutzer angegebene URLs wiederverwendet
• Die genauen Grenzen der betroffenen Zweige anhand der aktuellen Herstellerseite verifizieren, bevor Änderungen geplant werden

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• curl security advisory CVE-2026-86409 curl.se
• curl CVE JSON metadata CVE-2026-86409 curl.se
• HackerOne original report 3973135 hackerone.com
• curl fix pull request 22681 github.com
• OSV entry CURL-CVE-2026-86409 osv.dev
• Debian Security Tracker CVE-2026-86409 security-tracker.debian.org
• Amazon Linux Security Advisory CVE-2026-86409 explore.alas.aws.amazon.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:37.