curl: Umgehung von Public-Key-Pinning in wolfSSL-Builds

Zusammenfassung

curl-Builds, die wolfSSL als TLS-Backend verwenden, können einen gepinnten Public-Key-Hash akzeptieren, der nicht zum Schlüssel des TLS-Partners passt. Ein manipuliertes Zertifikat mit einem veränderten Gültigkeitslängenfeld führt dazu, dass curl beim erneuten Parsen einen anderen eingebetteten Schlüssel extrahiert. Ein Angreifer, der ein solches Zertifikat präsentieren kann, könnte das Public-Key-Pinning umgehen. Der Hersteller stuft das Problem als Low ein; der CVSS-Wert 9.1 aus der Anfrage ist durch NVD noch nicht bestätigt.

Betroffen

• curl 7.43.0 bis einschliesslich 8.22.0, nur bei Build mit wolfSSL
• Nicht betroffen: curl vor 7.43.0, curl 8.23.0 und neuer, curl 8.20.2 und neuer im Zweig 8.20.x, curl 8.16.2 und neuer im Zweig 8.16.x, curl 8.14.3 und neuer im Zweig 8.14.x
• Laut Advisory sind curl-Builds mit anderen TLS-Backends nicht betroffen

Behoben in

• curl 8.23.0 (veröffentlicht am 14. Oktober 2026)
• Patch-Commit ed131747c1a3dc7f816d26724c44537ac8acba44
• Korrigierte wolfSSL-Version: Unbekannt.

Umgehung

• Public-Key-Pinning in betroffenen Builds vermeiden
• Einen curl-Build mit einem anderen TLS-Backend verwenden, zum Beispiel OpenSSL oder GnuTLS
• Den Hersteller-Patch auf einen lokalen Build anwenden

Ausnutzung

• CISA SSVC stuft die Ausnutzung als "poc" und die Automatisierbarkeit als ja ein.
• Es wurde keine Ausnutzung in freier Wildbahn gefunden.
• Das Hersteller-Advisory macht keine Angabe, ob öffentlicher Proof-of-Concept-Code existiert; ein Aggregator meldet keinen Nachweis eines öffentlichen PoC.

Unsere Empfehlung

• "curl -V" auf den Systemen ausführen und prüfen, ob die SSL-Bibliothek wolfSSL angibt.
• Betroffene curl-Builds auf 8.23.0 oder eine korrigierte Zweigversion aktualisieren.
• Prüfen, ob Software mit libcurl Public-Keys pinnt, und deren Konfiguration überprüfen.
• Systeme mit eigenen, eingebetteten oder selbst kompilierten curl-Builds priorisieren, da typische Distributionspakete oft mit anderen TLS-Backends gebaut werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• curl security advisory CVE-2026-87866 curl.se
• curl CVE metadata JSON CVE-2026-87866 curl.se
• Original report on HackerOne hackerone.com
• OSV entry CURL-CVE-2026-87866 osv.dev
• Debian security tracker CVE-2026-87866 security-tracker.debian.org
• Ubuntu blog: curl vulnerabilities and fixes ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:55.