Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

curl 8.23.0 łata CVE-2026-92392, błąd HTTP/2 pozwalający serwerowi uruchomić kod u klienta

Use-after-free w curl i libcurl od 8.12.0 do 8.22.0 pozwala złośliwemu serwerowi uszkodzić pamięć klienta, który wysyła plik przez HTTP/2. Poprawka jest w wersji 8.23.0.

Karta wpisu: curl 8.23.0 łata CVE-2026-92392, błąd HTTP/2 pozwalający serwerowi uruchomić kod u klienta

curl 8.23.0, wydany 14 października, łata CVE-2026-92392. To błąd use-after-free przy wysyłce plików przez HTTP/2. Złośliwy serwer, który odbiera plik, może uszkodzić pamięć klienta. Badacz, który zgłosił błąd, uruchomił w ten sposób kod na maszynie wysyłającej. Projekt ocenia błąd jako High, czyli najwyżej od października 2023. Spodziewa się jednak, że prawdziwy atak skończy się raczej awarią programu, bo przejęcie klienta wymaga dokładnej znajomości jego kompilacji i układu pamięci. Wydanie usuwa łącznie 24 CVE.

Kogo dotyczy

Dotyczy narzędzia curl i biblioteki libcurl w wersjach od 8.12.0 do 8.22.0 zbudowanych z obsługą HTTP/2, a więc także programów, które przesyłają dane przez libcurl. Do ataku klient musi wysłać plik o rozmiarze około 135 KB przez HTTP/2 na serwer atakującego, a certyfikat tego serwera musi przejść weryfikację.

Co zrobić

Zaktualizuj curl do wersji 8.23.0 albo nałóż poprawkę na własną kompilację. Dopóki nie możesz zaktualizować, nie używaj HTTP/2: w narzędziu służy do tego opcja --http1.1, a w aplikacjach ustawienie CURLOPT_HTTP_VERSION na CURL_HTTP_VERSION_1_1.

TAB. 2

Źródła

1
The Hacker News — curl Patches HTTP/2 Upload Flaw After PoC Demonstrates Client-Side Code Executionthehackernews.com
TAB. 3

Powiązane

3
05.11.2026PodatnościSkaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Out
05.11.2026PodatnościOpenSSH łata krytyczne obejście hasła na Linuksie z musl libc bez PAM
05.11.2026PodatnościAplikacja bez kodu i uprawnień wprowadza telefon w pętlę restartów, poprawki nie będzie

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com