libcurl: Use-after-free und Type Confusion bei FTP-Wildcard-Übertragungen

Zusammenfassung

Schlägt eine FTP-Wildcard-LIST-Operation in libcurl fehl, bleiben Write-Callback und Write-Daten in einem ungültigen Zustand, und ein Klonen des Handles kopiert diesen Zustand. Die Wiederverwendung oder das Klonen eines solchen Handles kann zu einem Absturz, einem Heap-Use-after-free-Lesezugriff oder dazu führen, dass der Parser Antwortbytes des Servers in den Speicher der Anwendung schreibt. Die Schwachstelle erfordert, dass CURLOPT_FTP_WILDCARD aktiviert ist, und betrifft Anwendungen, die libcurl verwenden, nicht das Kommandozeilenwerkzeug curl. Der Hersteller stuft sie als Low ein; der NVD-Eintrag enthält einen CVSS-Wert von 9.1 (Awaiting Analysis), und die CISA-SSVC-Bewertung führt die Ausnutzung als poc auf.

Betroffen

• curl 7.21.0 bis einschliesslich 8.22.0
• Nicht betroffen: curl 8.23.0 und neuer
• Nicht betroffen: curl 8.20.2 und neuer im 8.20.X-Zweig
• Nicht betroffen: curl 8.16.2 und neuer im 8.16.X-Zweig
• Nicht betroffen: curl 8.14.3 und neuer im 8.14.X-Zweig
• Nicht betroffen: curl-Versionen vor 7.21.0
• Das Kommandozeilenwerkzeug curl ist nicht betroffen

Behoben in

• Aktualisierung auf curl 8.23.0 (veröffentlicht am 14. Oktober 2026)
• Alternativ die Upstream-Patches anwenden: ba8f8a7f27a5c5e19e4ef212 und b85acacec9b38442741bb019bc9
• Der Status bei den Distributionen variiert: Ubuntu 26.04 LTS behoben in 8.18.0-1ubuntu2.8, Debian sid behoben in 8.23.0-1, Alpine behoben in 8.23.0-r0. Für RHEL, SUSE und Windows-Builds unbekannt.

Umgehung

• FTP-Wildcard-Operationen (CURLOPT_FTP_WILDCARD) nach Möglichkeit vermeiden
• Easy-Handles für oder nach FTP-Wildcard-Treffern nie wiederverwenden oder klonen
• Eine vom Hersteller freigegebene alternative Massnahme ist nicht bekannt

Ausnutzung

• Die CISA-SSVC-Bewertung führt die Ausnutzung als poc und die Automatisierbarkeit als yes auf
• Im Rahmen der Recherche wurden kein Eintrag im CISA-KEV-Katalog, kein Bericht über Ausnutzung in freier Wildbahn und kein öffentlicher PoC-Code gefunden
• Authentifizierungsanforderungen werden im Advisory nicht genannt

Unsere Empfehlung

• Anwendungen und Drittsoftware (Backup-, ERP- oder Monitoring-Tools) identifizieren, die libcurl einbinden und FTP-Wildcard-Funktionen nutzen
• libcurl auf 8.23.0 aktualisieren oder den Herstellerpatch anwenden; statisch gelinkte Anwendungen neu bauen
• Debian-bookworm/trixie- und Ubuntu-24.04/22.04-Systeme aktualisieren, sobald Distributions-Fixes verfügbar sind
• Bis zum Patch die Nutzung von FTP-Wildcards einstellen oder die Wiederverwendung dieser Handles unterbinden
• Hersteller- und Distributions-Advisories auf Updates überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Vendor advisory (curl) curl.se
• Machine-readable advisory (curl JSON) curl.se
• Original report (HackerOne) hackerone.com
• Release announcement (curl mailing list) curl.se
• Ubuntu security notice ubuntu.com
• Debian security tracker security-tracker.debian.org
• OSV (curl) osv.dev
• OSV (Alpine) osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:54.