curl: Cookie-Jar durch nicht ladbares, vom Server gesetztes Cookie geleert

Zusammenfassung

Der Kommandozeilen-Client curl und libcurl in den Versionen 8.18.0 bis 8.22.0 sind betroffen. Ein entfernter HTTP-Server kann ein Cookie setzen, das curl in einer Netscape-Cookie-Datei speichert, später aber nicht erneut laden kann. Verwendet ein späterer Lauf dieselbe Datei für --cookie und --cookie-jar, bricht curl vor dem Verbindungsaufbau ab und ersetzt die Datei danach durch eine leere Datei, wodurch Cookies unabhängiger Domains gelöscht werden. Der Angriff setzt voraus, dass die betroffene Automatisierung einen vom Angreifer kontrollierten HTTP-Server kontaktiert.

Betroffen

• curl 8.18.0 bis einschliesslich 8.22.0
• curl-Zweig 8.20.x vor 8.20.2
• Nicht betroffen: curl vor 8.18.0 sowie 8.23.0 oder neuer
• Standardkonfiguration: laut Herstellerangaben im CVE-Eintrag nicht betroffen
• Nur Skripte oder Jobs, die für --cookie und --cookie-jar denselben Pfad verwenden, sind betroffen

Behoben in

• curl 8.23.0 (Herstellerfix, Commit 6ded3e5)
• curl 8.20.2 für den Zweig 8.20.x
• Ubuntu 26.04 LTS: 8.18.0-1ubuntu2.8 (laut Recherchenotizen; mit der Ubuntu-Meldung prüfen)
• Debian bookworm und trixie: laut Debian-Tracker behoben
• Debian forky (8.22.0-1): weiterhin verwundbar
• Hinweis: curl 8.23.0 entfernt die Unterstützung für die Protokolle SMB und SMBS; Kompatibilität vor dem Rollout prüfen

Umgehung

• In Skripten getrennte Dateien für --cookie und --cookie-jar verwenden (eigene Ableitung, keine Herstellerangabe)
• Cookie-Jar-Dateien vor dem Ausführen betroffener Jobs sichern
• Für nicht gepatchte Builds wie Debian forky unbekannt; abgesehen vom Upgrade oder lokalen Patch wurde keine vom Hersteller freigegebene Massnahme gefunden

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden (OffSeq: nicht als ausgenutzt bekannt)
• Kein öffentlicher Exploit in Metasploit oder Exploit-DB gefunden (Drittquellen, Fehlen ist kein Beweis)
• CISA SSVC im offiziellen CVE-Eintrag nennt Exploitation: poc und Automatable: no; dies widerspricht dem Fehlen öffentlicher PoC-Hinweise
• Der Hersteller stuft den Schweregrad als Low ein; die NVD-Analyse steht noch aus, und der NVD-Wert 8.1 ist nicht verifiziert

Unsere Empfehlung

• curl im regulären Patch-Zyklus auf 8.23.0 oder den behobenen Build der eigenen Distribution aktualisieren
• Skripte, Backups und CI-Jobs auf das gemeinsame Muster --cookie und --cookie-jar mit identischem Pfad prüfen
• Hosts priorisieren, auf denen curl in automatisierten Jobs gegen nicht vertrauenswürdige HTTP-Endpunkte läuft
• Cookie-Jar-Dateien sichern und vor dem Upgrade Abhängigkeiten zu SMB und SMBS testen
• Für typische Arbeitsplatzrechner ist über das normale Patchen hinaus keine dringende Massnahme erforderlich

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• curl security advisory CVE-2026-86412 curl.se
• curl CVE JSON metadata (OSV format) curl.se
• Original HackerOne report hackerone.com
• Ubuntu security notice CVE-2026-86412 ubuntu.com
• Debian security tracker for curl security-tracker.debian.org
• OSV entry CURL-CVE-2026-86412 osv.dev
• VulDB entry 422989 vuldb.com
• OffSeq threat radar entry radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:38.