curl: Negotiate-Anmeldedaten an umgeleitete Gegenstelle gesendet

Zusammenfassung

curl sendet Negotiate-(Kerberos-)Anmeldedaten an eine nicht zusammenhängende zweite Gegenstelle, wenn es einer Weiterleitung folgt. Die Schwachstelle betrifft Übertragungen mit einem Ambient User, also wenn curl einen leeren Benutzernamen erhält und die vom Kerberos-System bereitgestellten Anmeldedaten weitergibt. Ein Angreifer muss eine Weiterleitungsadresse kontrollieren oder beeinflussen können, und die Weiterleitung muss auf eine URL mit eingebetteten Benutzerdaten zeigen; die Schwachstelle wird nicht ausgelöst, wenn Benutzernamen in URLs untersagt sind. Der Hersteller stuft das Problem als Low ein, während NVD einen CVSS-Wert von 9.1 (Critical) angibt und die Analyse noch aussteht.

Betroffen

• curl 8.21.0 bis einschliesslich 8.22.0
• Versionen vor 8.21.0 sind von dieser CVE nicht betroffen.
• Versionen 8.23.0 und neuer sind nicht betroffen.
• Das curl-Kommandozeilenwerkzeug ist ebenfalls betroffen.

Behoben in

• curl 8.23.0 (Fix-Commit 43029e2ec37eba2354ced199ccd8898de695858e)
• Gepatchte Paketversionen anderer Hersteller: Unbekannt.

Umgehung

• Keinen Ambient User zusammen mit Weiterleitungen verwenden.
• Benutzernamen in URLs untersagen, wodurch der Auslöser verhindert wird.
• Den Herstellerpatch auf die lokale curl-Version anwenden.

Ausnutzung

• Aktive Ausnutzung: Unbekannt; keine Meldungen gefunden.
• Öffentlicher Proof of Concept: keiner für diese CVE gefunden.
• CISA SSVC: Exploitation-Status PoC, automatisierbar: ja, technische Auswirkung: total.

Unsere Empfehlung

• curl auf Version 8.23.0 oder neuer aktualisieren, einschliesslich des Kommandozeilenwerkzeugs und libcurl-basierter Anwendungen.
• Prüfen, ob Systeme curl mit Kerberos-Ambient-Credentials und Weiterleitungen verwenden, zum Beispiel in Skripten, Backend-Jobs oder domänenintegrierten Linux-Umgebungen, und diese Systeme priorisieren.
• Sicherstellen, dass Clients keine Anfragen mit eingebetteten Zugangsdaten an nicht vertrauenswürdige Hosts senden.
• Die Sicherheitshinweise der eigenen Linux-Distribution oder des Appliance-Herstellers auf gepatchte Pakete prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• curl security advisory CVE-2026-86413 curl.se
• curl advisory JSON metadata curl.se
• curl 8.23.0 release announcement curl.se
• OSV entry CURL-CVE-2026-86413 osv.dev
• Debian security tracker for curl security-tracker.debian.org
• Ubuntu security notice CVE-2026-86413 ubuntu.com
• Original HackerOne report hackerone.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:13.