curl und libcurl: Verlust eines untergeordneten HSTS-Eintrags beim Cache-Import
Zusammenfassung
curl und libcurl, einschliesslich des Kommandozeilenwerkzeugs curl, verwerfen einen langlebigeren untergeordneten HSTS-Eintrag stillschweigend, wenn zuerst ein übergeordneter Eintrag mit includeSubDomains importiert wird. Nach Ablauf des übergeordneten Eintrags stellt curl das Upgrade auf HTTPS ein und sendet unverschlüsselte HTTP-Anfragen. Ein Angreifer mit einer Netzwerkposition zum Abfangen des Datenverkehrs könnte solche Anfragen lesen oder verändern. Das CNA bewertet die Lücke mit 8.1, das curl-Projekt stuft sie als Low ein, und die Analyse durch NVD steht noch aus.
Betroffen
- curl 8.11.0 bis 8.22.0
- Nicht betroffen: Versionen vor 8.11.0, 8.23.0 und neuer, 8.20.2 und neuer im Zweig 8.20.x, 8.16.2 und neuer im Zweig 8.16.x, 8.14.3 und neuer im Zweig 8.14.x
- Distributionen: Ubuntu 26.04 LTS ist in 8.18.0-1ubuntu2.8 behoben; Ubuntu 24.04 und 22.04 sind als verwundbar aufgeführt; Debian bookworm ist nicht betroffen, trixie und forky sind verwundbar
Behoben in
- curl 8.23.0 (veröffentlicht am 14. Oktober 2026), Fix-Commit a1614c3
- Ubuntu 26.04 LTS: 8.18.0-1ubuntu2.8
- Debian sid: 8.23.0
- Andere Distributionen: Unbekannt, Sicherheitshinweis des Herstellers prüfen
Umgehung
- Kein vom Hersteller dokumentierter Workaround.
- Das curl-Projekt empfiehlt, sich nicht auf HSTS zu verlassen, und den Patch auf die lokale Version anzuwenden.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn gefunden; in den geprüften Quellen nicht im CISA KEV aufgeführt.
- CISA SSVC führt die Ausnutzung als 'poc', nicht automatisierbar, technische Auswirkung: total.
- In der Recherche wurde kein öffentliches PoC-Repository gefunden.
Unsere Empfehlung
- Versionen von curl und libcurl inventarisieren, einschliesslich Distributionspaketen und eingebetteten Kopien.
- Auf curl 8.23.0 aktualisieren oder den Patch der Distribution installieren.
- Systeme und Skripte priorisieren, die eine persistente HSTS-Cache-Datei verwenden, etwa Updater und Backup-Jobs.
- Appliances und Firewalls mit eingebautem curl separat mit den jeweiligen Herstellern prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- curl security advisory CVE-2026-87862 curl.se
- curl CVE metadata (JSON) curl.se
- Original report on HackerOne hackerone.com
- Ubuntu security notice USN-8927-1 ubuntu.com
- Ubuntu CVE tracker entry ubuntu.com
- Debian security tracker security-tracker.debian.org
- OSV entry CURL-CVE-2026-87862 osv.dev
- Ubuntu security notice USN-8932-1 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.