curl / libcurl: FTP-Verbindungswiederverwendung übernimmt falsche Client-Zertifikatsidentität

Zusammenfassung

Eine Übertragung mit ftp:// und CURLUSESSL_NONE kann eine gepoolte FTP-Steuerverbindung wiederverwenden, die eine frühere Anfrage mit STARTTLS hochgestuft und mit einem Client-Zertifikat authentifiziert hat. Der Server behandelt die zweite Übertragung dann unter der Zertifikatsidentität der ersten. Die Schwachstelle tritt nur auf, wenn eine Anwendung einen Verbindungspool über Übertragungen mit unterschiedlichen Identitäten hinweg teilt und FTP mit Client-Zertifikaten verwendet. Der CVSS-Wert 9.1 aus der NVD ist umstritten: curl stuft das Problem als niedrig ein, Vulners nennt 7.5.

Betroffen

• curl 8.21.0 (Herstellerhinweis; Standardbuilds anderer Versionen sind nicht betroffen)
• Unbekannt: Der genaue betroffene Bereich ist in Sekundärquellen umstritten (einige nennen 8.22.0 oder frühere Versionen)
• Distributionspakete können Backports enthalten; prüfen Sie jeden Anbieter separat

Behoben in

• curl 8.22.0 (Herstellerhinweis)
• Einige Sekundärquellen nennen curl 8.23.0 als korrigierte Version; verwenden Sie 8.23.0 oder neuer, falls verfügbar
• Fix-Commit: 72352daba01ba8072b6c1c0254cb77860ed1ab06

Umgehung

• Keine Client-Zertifikate für FTP-Übertragungen verwenden (Empfehlung des Herstellers)
• FTP-Übertragungen mit und ohne Client-Zertifikate in getrennten Verbindungspools betreiben (aus dem AISLE-Auditbericht; der Satz ist in der Quelle abgeschnitten, daher vor der Anwendung prüfen)

Ausnutzung

• CISA SSVC führt die Ausnutzung als "poc" (Proof of Concept vorhanden) und die Automatisierbarkeit als "no"
• Nicht im KEV-Katalog der bekannten ausgenutzten Schwachstellen gelistet
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden

Unsere Empfehlung

• Prüfen, ob curl- oder libcurl-Installationen FTP mit Client-Zertifikaten verwenden, etwa in Skripten, Backup-Jobs oder eigenen Anwendungen
• curl und libcurl auf 8.22.0 oder neuer bzw. auf die gepatchte Version Ihrer Distribution aktualisieren; vorher die Kompatibilität prüfen, da 8.23.0 die Unterstützung für SMB und SMBS entfernt
• Bis zur Aktualisierung FTP ohne Client-Zertifikate verwenden und Verbindungspools nach Identität trennen
• Als Patch mit mittlerer Priorität in der eigenen Umgebung behandeln, nicht als kritischen Notfall, sofern Ihr Einsatz nicht dem beschriebenen Szenario entspricht

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• curl security advisory CVE-2026-86411 curl.se
• curl CVE metadata JSON CVE-2026-86411 curl.se
• curl vendor announcement (lib-2026-10) curl.se
• OSV entry CURL-CVE-2026-86411 osv.dev
• HackerOne report 3973190 hackerone.com
• AISLE curl audit security report curl.se
• curl pull request 21665 (SSL-use matching in connection reuse) github.com
• Cybersecurity News: curl security update (24 vulnerabilities) cybersecuritynews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:13.