curl: Umgehung der Host-Key-Prüfung nach Weiterleitung auf SFTP oder SCP
Zusammenfassung
Das Kommandozeilenwerkzeug curl wendet die SSH-Host-Prüfoptionen (--knownhosts, --hostpubsha256, --hostpubmd5) nicht an, wenn eine Verbindung auf SFTP oder SCP umgeleitet wird. Ein Angreifer, der die Serverantwort kontrolliert oder abfängt, kann die Übertragung auf einen SFTP- oder SCP-Server umleiten, der dann ohne die gewünschten Host-Key-Prüfungen verbunden wird. Die Schwachstelle erfordert --location in Kombination mit --proto-redir +sftp oder +scp und ist nur in einem Man-in-the-Middle- oder serverseitig kontrollierten Szenario ausnutzbar; libcurl ist nicht betroffen.
Betroffen
- curl-Kommandozeilenwerkzeug 7.81.0 bis einschliesslich 8.22.0
- Nicht betroffen: Versionen vor 7.81.0 sowie 8.23.0 und neuer
- Nicht betroffen: 8.20.2 oder neuer im Zweig 8.20.X, 8.16.2 oder neuer im Zweig 8.16.X, 8.14.3 oder neuer im Zweig 8.14.X
- Nur das curl-Kommandozeilenwerkzeug ist betroffen, nicht libcurl
Behoben in
- Aktualisierung auf curl 8.23.0 (veröffentlicht am 14. Oktober 2026)
- Alternativ den Fix-Commit 6ae9befb2fb6bdfdb5fc11fdf76bbe519fe1f52c in die lokale Version einspielen
- Distributionspakete können rückportiert sein; die Sicherheitshinweise des jeweiligen Herstellers prüfen
Umgehung
- Weiterleitungen auf SFTP oder SCP nicht erlauben (--location nicht in Kombination mit --proto-redir +sftp oder +scp verwenden)
- Die Standard-Protokollbeschränkungen für Weiterleitungen beibehalten
- SSH-Host-Key-Optionen nicht als Ersatzkontrolle verwenden
Ausnutzung
- CISA SSVC: Ausnutzungsstatus PoC, nicht automatisierbar
- Zum Zeitpunkt der Recherche sind keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept bekannt
- EPSS ist niedrig (etwa 0.008)
Unsere Empfehlung
- curl auf Linux-Servern und Appliances inventarisieren (curl --version)
- Auf curl 8.23.0 oder den rückportierten Fix der Distribution aktualisieren
- Skripte und Tools auf --location in Kombination mit SFTP- oder SCP-Weiterleitungen prüfen und diese deaktivieren
- Im normalen Patch-Zyklus priorisieren, sofern keine solchen Skripte im Einsatz sind; das praktische Risiko ist trotz des NVD-Scores von 8.1 gering bis mittel
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- curl security advisory CVE-2026-86410 curl.se
- curl CVE JSON metadata curl.se
- Original report on HackerOne hackerone.com
- Debian security tracker security-tracker.debian.org
- OSV entry CURL-CVE-2026-86410 osv.dev
- Ubuntu blog on curl vulnerability fixes ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.