libcurl: Host-Zugangsdaten an HTTP-Proxy offengelegt

Zusammenfassung

libcurl sendet die Zugangsdaten des Ursprungsservers, entweder ein Basic-Passwort oder ein Negotiate-/Kerberos-Ticket, an einen HTTP-Proxy. Dies geschieht, wenn der Proxy die CONNECT-Tunnelanfrage mit 401 und einem WWW-Authenticate-Header statt mit der erwarteten 407-Antwort mit Proxy-Authenticate beantwortet. Der Hersteller stuft die Schwachstelle als gering ein, und der mit diesem Eintrag angegebene CVSS-Wert 9.1 ist nicht verifiziert. Auch das Kommandozeilenwerkzeug curl ist betroffen.

Betroffen

• curl 7.10.8 bis einschliesslich 8.22.0
• Hinweis des Herstellers: Distributionen können Korrekturen rückportiert haben, daher die Paketversion in der Advisory der Distribution prüfen.

Behoben in

• curl 8.23.0 (veröffentlicht am 14. Oktober 2026)
• Korrigierte Versionen der Maintenance-Zweige: 8.14.3 (8.14.X), 8.16.2 (8.16.X), 8.20.2 (8.20.X)
• Ubuntu 26.04 LTS: laut Ubuntu-Tracker in 8.18.0-1ubuntu2.8 korrigiert
• Andere Distributionen: Debian bookworm und trixie sind laut Debian-Tracker weiterhin als verwundbar aufgeführt; die Advisory des jeweiligen Herstellers prüfen.

Umgehung

• Für authentifizierte Verbindungen mit Basic- oder Negotiate-Authentifizierung keine HTTP-Proxys verwenden.
• Den Patch des Herstellers (Commit 2956af6c7451029fb12c12f8166dff211f930d52) auf die lokale Version anwenden.
• Der Wechsel auf einen SOCKS-Proxy behebt die Schwachstelle nicht.

Ausnutzung

• Die SSVC-Bewertung von CISA führt die Ausnutzung als "poc" und die Automatisierbarkeit als ja.
• In den geprüften Quellen wurden keine Ausnutzung in freier Wildbahn, kein Eintrag im CISA-KEV-Katalog und kein öffentlicher Proof of Concept gefunden.
• Der Angreifer muss einen Proxy kontrollieren oder vor einem vom Client genutzten Proxy positioniert sein.

Unsere Empfehlung

• Alle Systeme und eingebetteten Produkte inventarisieren, die libcurl oder das Kommandozeilenwerkzeug curl verwenden, einschliesslich Build- und Laufzeitabhängigkeiten.
• Auf curl 8.23.0 oder die korrigierte Version des Maintenance-Zweigs aktualisieren oder das gepatchte Paket der Distribution installieren.
• Bis zur Korrektur keine HTTP-Proxys für authentifizierte Anfragen mehr verwenden und festlegen, welche Proxys Clients nutzen dürfen.
• Nicht kontrollierte Forward-Proxys prüfen und Logs auf möglicherweise offengelegte Zugangsdaten kontrollieren.
• Systeme mit Proxy-Nutzung in unsicheren Netzwerken sowie Dienste mit eingebettetem libcurl priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• curl security advisory CVE-2026-86414 curl.se
• curl CVE metadata (JSON) curl.se
• Original report (HackerOne) hackerone.com
• Ubuntu security tracker ubuntu.com
• Debian security tracker security-tracker.debian.org
• OSV entry CURL-CVE-2026-86414 osv.dev
• Curl security update overview (Cybersecurity News) cybersecuritynews.com
• curl 8.23.0 security release guide (Puppyip) puppyip.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:01.