curl/libcurl: Use-after-free in der HTTP/2-Upload-Verarbeitung

Zusammenfassung

curl und libcurl verarbeiten HTTP/2-RST_STREAM-Frames fehlerhaft, die einen Grund von HTTP_1_1_REQUIRED oder REFUSED_STREAM enthalten und während eines Uploads vom Server gesendet werden. Dies führt zu einem Use-after-free eines struct-Curl_easy-Objekts. Ein Angreifer benötigt einen bösartigen HTTP/2-Server, zu dem der Client Daten hochlädt. Laut Hersteller kann die Schwachstelle möglicherweise in eine Remote Code Execution umgewandelt werden, jedoch nur, wenn viele spezifische Bedingungen erfüllt sind.

Betroffen

• curl 8.12.0 bis einschliesslich 8.22.0 (Kommandozeilentool und libcurl)
• Nicht betroffen: curl vor 8.12.0, curl 8.23.0 und neuer sowie die korrigierten Branch-Versionen 8.20.2 (8.20.X), 8.16.2 (8.16.X) und 8.14.3 (8.14.X)

Behoben in

• Auf curl 8.23.0 aktualisieren (veröffentlicht am 14. Oktober 2026)
• Alternativ den Patch des Herstellers anwenden
• Distributionspakete unterscheiden sich; die genaue Paketversion ist im Security-Tracker der Distribution zu prüfen

Umgehung

• Das Advisory des Herstellers nennt keine Workaround-Massnahme.
• Drittquellen empfehlen, HTTP/2 zu vermeiden oder HTTP/1.1 zu erzwingen (zum Beispiel mit curl --http1.1). Der Hersteller hat dies nicht bestätigt; vor dem Einsatz testen.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung wurde keine Ausnutzung in freier Wildbahn und kein öffentlicher Exploit-Code gefunden.
• CISA-SSVC-Bewertung: Ausnutzungsstatus PoC, nicht automatisierbar, totale technische Auswirkung.
• Laut Hersteller erfordert die Umwandlung in eine Remote Code Execution viele spezifische Bedingungen, etwa exakter Build, Heap-Layout und Timing.

Unsere Empfehlung

• Alle curl- und libcurl-Installationen inventarisieren, einschliesslich eingebetteter Kopien in Laufzeitumgebungen, Containern und Appliances.
• Auf curl 8.23.0 oder die korrigierte Branch-Version aktualisieren bzw. das korrigierte Distributionspaket installieren.
• Hosts priorisieren, die per HTTP/2 an externe oder nicht vertrauenswürdige Endpunkte hochladen.
• Bis zur Behebung Uploads auf vertrauenswürdige Endpunkte beschränken und curl-basierte Anwendungen auf Abstürze überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  ashu7ank/CVE-2026-92392

Quellen der Recherche

• curl security advisory CVE-2026-92392 curl.se
• curl advisory JSON metadata curl.se
• HackerOne original report hackerone.com
• Debian security tracker security-tracker.debian.org
• Ubuntu security notice ubuntu.com
• OpenCVE CVE-2026-92392 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:08.