curl: Verlust gespeicherter HSTS-Einträge nach fehlgeschlagenem Cache-Speichern
Zusammenfassung
curl speichert HSTS-Einträge (HTTP Strict Transport Security) in einer Cache-Datei. Ein HTTPS-Server, mit dem der Client verbunden ist, kann einen max-age-Wert senden, den der Parser akzeptiert, der bei der Zeitserialisierung aber fehlschlägt; daraufhin kürzt curl die Cache-Datei und löscht die temporäre Ersatzdatei, sodass ein leerer oder unvollständiger Cache entsteht. curl ignoriert diesen Speicherfehler und beendet sich erfolgreich, weshalb gespeicherte Regeln für HTTPS-only bei betroffenen Hosts stillschweigend verloren gehen. Der Hersteller stuft das Problem als Low ein; der CVSS-Wert 8.1 stammt vom ADP-Scorer von CISA.
Betroffen
- curl 8.2.0 bis einschliesslich 8.22.0 (libcurl und das Kommandozeilenwerkzeug curl)
- Versionen vor 8.2.0 sowie 8.23.0 und neuer sind laut Hersteller nicht betroffen.
- Die Zweige 8.14.X, 8.16.X und 8.20.X sind in 8.14.3, 8.16.2 bzw. 8.20.2 behoben.
- Hersteller- oder Distributionsbuilds: Unbekannt; bei jedem Lieferanten prüfen.
Behoben in
- curl 8.23.0 (veröffentlicht am 14. Oktober 2026)
- curl 8.20.2 (Zweig 8.20.X)
- curl 8.16.2 (Zweig 8.16.X)
- curl 8.14.3 (Zweig 8.14.X)
- Patch: Commit 08d50a79
- Debian trixie: behobene Version Unbekannt.
Umgehung
Unbekannt. Der Hersteller rät davon ab, sich auf HSTS zu verlassen; dies ersetzt das Patchen nicht.
Ausnutzung
- CISA SSVC führt die Ausnutzung als 'poc' und die Automatisierbarkeit als 'no'.
- Keine aktive Ausnutzung gemeldet.
- In den Recherchenotizen wurde kein öffentlicher Exploit bestätigt.
Unsere Empfehlung
- curl auf 8.23.0 oder die Version des behobenen Zweigs aktualisieren oder den Patch des Herstellers anwenden.
- curl und libcurl auf Servern, Arbeitsstationen, CI-Pipelines und Appliances inventarisieren, einschliesslich eingebetteter Builds.
- Die Hinweise von Debian trixie und Ubuntu auf rückportierte Korrekturen prüfen.
- Systeme priorisieren, die Daten von externen oder nicht vertrauenswürdigen HTTPS-Servern abrufen.
- Prüfen, ob HSTS-Cache-Dateien nach curl-Läufen leer sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- curl security advisory CVE-2026-87863 curl.se
- curl CVE metadata (JSON) curl.se
- Original report (HackerOne) hackerone.com
- OSV entry CURL-CVE-2026-87863 osv.dev
- Debian security tracker: curl security-tracker.debian.org
- Ubuntu notice USN-8927-1 ubuntu.com
- Ubuntu notice USN-8932-1 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:35.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.