libcurl: TFTP-Richtungsverwechslung kann Daten aus wiederverwendetem Handle senden

Zusammenfassung

libcurl prüft nicht, ob die Antwort des TFTP-Servers zur angeforderten Übertragungsrichtung passt. Ein böswilliger TFTP-Server kann auf eine Download-Anfrage so antworten, dass der Client in den Upload-Modus wechselt und Daten aus dem CURLOPT_READDATA-Zeiger des Handles sendet, die auch aus früheren Operationen wie einem HTTP-POST auf einem wiederverwendeten Handle stammen können. Der Hersteller stuft das Problem als Low ein, das curl-Kommandozeilenwerkzeug ist nicht betroffen; der Angriff setzt voraus, dass die Anwendung von einem vom Angreifer gewählten TFTP-Server abruft.

Betroffen

• libcurl 7.15.0 bis 8.22.0 (gemäss Herstellerhinweis)
• Branch-Versionen vor 8.14.3, 8.16.2 und 8.20.2 sind betroffen
• Das curl-Kommandozeilenwerkzeug ist nicht betroffen
• Distributionspakete unterscheiden sich; bei der Distribution prüfen

Behoben in

• curl 8.23.0 (Fix-Commit 63dd390fab905a239a97e270)
• Branch-Versionen 8.14.3, 8.16.2 und 8.20.2

Umgehung

• Für TFTP-Übertragungen frische Easy-Handles verwenden (Empfehlung des Herstellers)
• Den Patch des Herstellers in einen lokalen Build einspielen
• TFTP-Übertragungen zu nicht vertrauenswürdigen Servern vermeiden (eigene Empfehlung, nicht vom Hersteller)

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog
• Kein öffentlicher Proof of Concept gefunden
• CISA SSVC: Exploitation poc, Automatable no, Technical Impact total
• Die NVD-Bewertung steht noch aus; der CVSS-Wert 8.1 ist durch den Hersteller nicht bestätigt

Unsere Empfehlung

• libcurl auf 8.23.0 oder die korrigierte Branch-Version aktualisieren oder das korrigierte Paket der Distribution installieren
• Server, Skripte und Anwendungen auf libcurl prüfen, auch auf statisch oder mitgelieferte Kopien, und diese aktualisieren oder neu bauen
• Bis zur Korrektur frische Easy-Handles für TFTP verwenden und TFTP zu nicht vertrauenswürdigen Servern vermeiden
• Die Priorität nach Exposition festlegen: das Risiko ist für die meisten KMU gering

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• curl security advisory CVE-2026-92389 curl.se
• curl JSON metadata CVE-2026-92389 curl.se
• OSV entry CURL-CVE-2026-92389 osv.dev
• curl release announcement lib-2026-10 curl.se
• Debian security tracker CVE-2026-92389 security-tracker.debian.org
• Ubuntu curl vulnerability fixes ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:33.