Ubuntu USN-8932-1 schließt neun curl-Lücken – von Proxy-Zugangsdaten bis Use-after-free bei FTP
Victoria Shinder2 Min. LesezeitCanonical hat am 14. Oktober 2026 den Ubuntu-Sicherheitshinweis USN-8932-1 veröffentlicht und damit neun Schwachstellen in curl und libcurl behoben. Das Update gilt für Ubuntu 24.04 LTS, 22.04 LTS, 20.04 LTS, 18.04 LTS, 16.04 LTS und 14.04 LTS; einige Fehler betreffen nur die neueren Versionen.
Zugangsdaten und Authentifizierungszustand. Zwei Lücken können Geheimnisse preisgeben. Ein HTTP-Proxy konnte libcurl dazu bringen, Zugangsdaten an den Proxy selbst zu senden, indem er auf eine CONNECT-Anfrage mit einer unerwarteten Authentifizierungsaufforderung antwortete (CVE-2026-86414). Außerdem setzte curl den AWS-SigV4-Authentifizierungszustand nicht zurück, wenn CURLOPT_AWS_SIGV4 auf NULL gesetzt wurde (CVE-2026-86409, nur Ubuntu 22.04 und 24.04). Ein dritter Fehler betrifft .netrc: libcurl konnte aus dieser Datei gelesene Zugangsdaten in der von CURLINFO_EFFECTIVE_URL zurückgegebenen URL offenlegen (CVE-2026-94266, Ubuntu 20.04, 22.04 und 24.04).
HSTS. curl behandelte HSTS-Einträge falsch, wenn ein übergeordneter Eintrag mit includeSubDomains vor einem länger gültigen untergeordneten Eintrag importiert wurde; das konnte zu unverschlüsseltem HTTP führen (CVE-2026-87862, 22.04 und 24.04). Zudem konnten HSTS-Werte für max-age jenseits der Grenzen der Kalenderzeit-Struktur einen Denial of Service oder Datenverlust auslösen (CVE-2026-87863, nur 24.04).
Protokollverarbeitung. Mit aktiviertem CURLOPT_CRLF konnten überzählige Bytes in IMAP-APPEND-Befehlen als nachfolgende Befehle interpretiert werden, sodass ein authentifizierter Angreifer IMAP-Befehle einschleusen konnte (CVE-2026-87864). libcurl enthielt einen Use-after-free im FTP-Wildcard-Matching; laut Canonical kann curl dadurch abstürzen oder beliebigen Code ausführen (CVE-2026-92388). Die TFTP-Zustandsmaschine prüfte die Übertragungsrichtung nicht, sodass ein bösartiger Server den Client in den Sendemodus zwingen konnte (CVE-2026-92389), und tief verschachtelte MIME-Strukturen konnten einen Stack-Überlauf verursachen (CVE-2026-92391, 18.04 bis 24.04).
Fünf der Lücken meldete laut Hinweis Stanislav Fort, vier Joshua Rogers.
Was zu installieren ist. Nach Angaben von Canonical genügt ein normales Systemupdate. Auf 24.04 LTS lautet die korrigierte Paketversion 8.5.0-2ubuntu10.16, auf 22.04 LTS 7.81.0-1ubuntu1.30. Die Versionen für die übrigen Releases stehen im Hinweis.
Quelle: Ubuntu, „USN-8932-1: curl vulnerabilities“ — https://ubuntu.com/security/notices/USN-8932-1