curl / libcurl: Verbindungswiederverwendung über Origins hinweg bei Negotiate-Authentifizierung
Zusammenfassung
curl und libcurl können eine HTTP-Anfrage für einen Origin über eine zuvor per Negotiate für einen anderen Origin authentifizierte Verbindung senden, sodass die vorgesehenen Anmeldedaten der Anfrage nicht verwendet werden. Das Problem betrifft nur die Verwendung von Ambient User Credentials (leerer Benutzername). Im Advisory wird die Auswirkung als Informationsoffenlegung durch gesendete Daten beschrieben, und der CNA stuft die Schwachstelle als Low ein, während der CVE-Program-Eintrag CVSS 9.1 (Critical) ausweist; dieser Wert ist von curl nicht bestätigt und scheint für dieses Szenario zu hoch.
Betroffen
- curl 8.21.0 bis 8.22.0 (Kommandozeilenwerkzeug und libcurl)
- Versionen vor 8.21.0 sowie 8.23.0 und neuer sind nicht betroffen
- Nur relevant bei Verwendung von Ambient User Credentials mit Negotiate
Behoben in
- curl 8.23.0 (veröffentlicht am 14. Oktober 2026)
- Upstream-Fix-Commit 7c11f1a1bd53e2cd983fe153e45991302d097647
- Der Status der Distributionspakete variiert; die Advisories der jeweiligen Hersteller prüfen (Debian bookworm und trixie laut Angaben als behoben, andere nicht verifiziert)
Umgehung
- Keine Ambient User Credentials zur Authentifizierung verwenden
- Den Upstream-Patch auf die lokale curl-Version anwenden, falls kein Upgrade möglich ist
- Weitere herstellerspezifische Workarounds sind nicht bekannt; unbekannt ist, ob das Deaktivieren der Verbindungswiederverwendung das Problem vollständig abschwächt
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn bekannt
- Kein öffentlicher Proof of Concept gefunden; der ursprüngliche Bericht ist auf HackerOne öffentlich
- CISA-SSVC-Bewertung: Exploitation als PoC und automatisierbar: ja
Unsere Empfehlung
- Systeme und Anwendungen inventarisieren, die curl oder libcurl verwenden, einschliesslich eingebetteter Tools und Skripte
- Patches priorisieren, wo Negotiate/Kerberos-SSO mit Ambient Credentials genutzt wird, beispielsweise in Windows-SSPI-Umgebungen
- Auf curl 8.23.0 oder ein korrigiertes Distributionspaket aktualisieren oder den Upstream-Patch anwenden
- Ambient User Credentials wo möglich nicht mehr verwenden
- Windows-mitgelieferte oder herstellerseitig ausgelieferte curl-Versionen einzeln prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- curl security advisory CVE-2026-87861 curl.se
- curl CVE metadata JSON curl.se
- HackerOne original report hackerone.com
- OSV record CURL-CVE-2026-87861 osv.dev
- Debian security tracker for curl security-tracker.debian.org
- Ubuntu security notice CVE-2026-87861 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.