В curl исправили уязвимость 25-летней давности (CVE-2026-8932) в libcurl

Разработчики curl выпустили версию 8.21.0, в которой исправили восемнадцать уязвимостей — рекордное число в одном обновлении. Самая старая проблема — CVE-2026-8932, присутствовавшая в коде с версии 7.7 (22 марта 2001 года) и затрагивающая все версии до 8.20.0 включительно.

Уязвимость обнаружена специалистами Aisle с помощью AI-платформы. Проблема в libcurl: при повторном использовании соединений из пула библиотека не проверяла все параметры клиентского сертификата и приватного ключа. В результате libcurl могла использовать соединение, аутентифицированное с прежними параметрами, даже если приложение изменило сертификат или ключ. Уязвимость затрагивает приложения со встроенной libcurl, но не консольную утилиту curl.

Linux / Линукс 🥸