curl / libcurl: Command Injection über IMAP APPEND mit CRLF-Konvertierung

Zusammenfassung

Wird CURLOPT_CRLF (bzw. --crlf) aktiviert, sendet curl die IMAP-APPEND-Literal-Länge anhand der ursprünglichen Eingabegrösse, überträgt aber zeilenendenerweiterte Daten. Der IMAP-Server liest daher nur die angekündigte Anzahl Bytes, und der Überhang wird als zusätzliche IMAP-Befehle innerhalb der authentifizierten Sitzung ausgeführt. Das Problem betrifft nur IMAP-Uploads in Kombination mit CRLF-Konvertierung, weshalb die meisten curl-Nutzungen nicht betroffen sind. Das curl-Projekt stuft das Problem als Low ein, der angefragte CVSS-Wert beträgt 8.1; die NVD-Analyse war noch ausstehend.

Betroffen

• curl 7.30.0 bis 8.21.0 (libcurl und curl-Kommandozeilenwerkzeug)
• Standardmässige Builds sind nicht betroffen, sofern CURLOPT_CRLF nicht zusammen mit IMAP verwendet wird
• Nicht betroffen: 8.22.0 und neuer, 8.20.2 und neuer im 8.20.x-Zweig, 8.16.2 und neuer im 8.16.x-Zweig, 8.14.3 und neuer im 8.14.x-Zweig

Behoben in

• Aktualisierung auf curl 8.22.0 oder neuer (veröffentlicht am 2. September 2026)
• Distributionspakete: die korrigierten Versionen aus dem Sicherheits-Tracker des Betriebssystem-Herstellers verwenden
• Alternativ Patch aus Commit 3b547de301342b347fb3c6ea6ae7979070793a66 anwenden

Umgehung

• CURLOPT_CRLF bzw. --crlf bei IMAP-Uploads nicht verwenden
• Skripte, Anwendungscode und mitgelieferte libcurl-Builds auf diese Option prüfen

Ausnutzung

• Bekannte Ausnutzung in freier Wildbahn: keine gefunden; Aufnahme in den CISA-KEV-Katalog nicht bestätigt
• Öffentlicher Proof of Concept: keiner gefunden
• CISA-SSVC-Bewertung: Exploitation PoC, nicht automatisierbar, totale technische Auswirkung

Unsere Empfehlung

• curl und libcurl auf 8.22.0 oder neuer aktualisieren bzw. auf die korrigierte Paketversion der eigenen Distribution
• Interne Skripte, Anwendungen und Werkzeuge auf --crlf bzw. CURLOPT_CRLF in Kombination mit IMAP prüfen
• Mitgelieferte libcurl-Kopien in Anwendungen erfassen und aktualisieren
• Priorisierung gemäss der Einstufung Low durch curl und der Exponierung der IMAP-Upload-Workflows

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• curl security advisory CVE-2026-87864 curl.se
• curl CVE JSON metadata curl.se
• Original report (HackerOne) hackerone.com
• Debian security tracker security-tracker.debian.org
• Ubuntu curl vulnerability fixes ubuntu.com
• OSV entry CURL-CVE-2026-87864 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:35.