curl: Negotiate-Zugangsdaten nach Weiterleitung an fremden Host gesendet
Zusammenfassung
curl behält beim Folgen einer Weiterleitung auf eine URL mit Userinfo den HTTP-Negotiate-Authentifizierungsstatus bei. Ein böswilliger Server kann mit einer solchen Weiterleitung erreichen, dass curl ein neu erzeugtes Kerberos-Ticket, das auf der Identität des Client-Prozesses basiert, an einen nicht vertrauenswürdigen Drittserver sendet. Voraussetzung ist ein Client, der Negotiate-Authentifizierung verwendet, Weiterleitungen folgt und eine ambiente Kerberos-Identität besitzt; der Server selbst muss nicht exponiert sein.
Betroffen
- curl 8.21.0 bis 8.22.0 (libcurl und das Kommandozeilenprogramm curl)
- Versionen vor 8.21.0 sowie 8.23.0 und neuer sind gemäss Herstellerangaben nicht betroffen
Behoben in
- curl 8.23.0 (veröffentlicht am 14. Oktober 2026)
- Fix-Commit 557a52f21e37a626725a9e708c02af129c3ece1b
- Distributionspakete: den Herstellertracker für den genauen Build prüfen (Debian forky wird als verwundbar geführt)
Umgehung
- Keine Weiterleitungen folgen, wenn Negotiate-Authentifizierung verwendet wird
- Den Upstream-Patch auf einen lokalen Build anwenden
Ausnutzung
- Keine Ausnutzung in freier Wildbahn gefunden. Nicht gegen den CISA-KEV-Katalog verifiziert.
- Kein öffentlicher Proof-of-Concept gefunden. Der ursprüngliche HackerOne-Bericht ist öffentlich.
- CISA SSVC führt die Ausnutzung als poc und die Automatisierbarkeit als ja.
Unsere Empfehlung
- curl und libcurl auf Servern, Arbeitsstationen und eingebetteten Werkzeugen inventarisieren und prüfen, ob die Version 8.21.0 bis 8.22.0 ist.
- Auf curl 8.23.0 oder das gefixte Distributionspaket aktualisieren.
- Bis zur Behebung in Skripten, Backup-Jobs und Werkzeugen, die Negotiate-Authentifizierung verwenden, das Folgen von Weiterleitungen deaktivieren.
- Den NVD-Eintrag auf die endgültige Bewertung und einen allfälligen KEV-Eintrag überwachen. Der Hersteller stuft das Problem als niedrig ein; der NVD-Score 9.1 ist noch in Analyse.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- curl security advisory CVE-2026-94265 curl.se
- curl CVE JSON metadata curl.se
- Original report (HackerOne 4040551) hackerone.com
- Ubuntu security notice CVE-2026-94265 ubuntu.com
- Debian security tracker curl security-tracker.debian.org
- OSV CURL-CVE-2026-94265 osv.dev
- VulDB entry 424066 vuldb.com
- Red Hat RHSA-2026:82895 via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.