Múltiplas vulnerabilidades no curl expõem sistemas Ubuntu a roubo de credenciais e DoS
Várias falhas de alta gravidade no curl afetam o Ubuntu 22.04 e 24.04 LTS, incluindo exposição de credenciais e negação de serviço.
TL;DR
- Cinco CVEs impactam o tratamento do curl em AWS SigV4, proxies HTTP, HSTS, cookies e redirecionamentos SSH.
- Atacantes podem roubar credenciais, contornar criptografia ou causar negação de serviço.
- Afeta Ubuntu 22.04 LTS e 24.04 LTS; atualização imediata recomendada.
- Inclui leitura fora dos limites no caminho WebSocket quando compilado com GnuTLS.
- Uma falha permite endereços de origem não intencionais durante o reuso de conexões.
Pesquisadores de segurança descobriram múltiplas vulnerabilidades no utilitário amplamente utilizado curl, afetando o Ubuntu 22.04 LTS e 24.04 LTS. Esses problemas variam desde o tratamento inadequado de credenciais até possíveis negações de serviço, colocando aplicativos corporativos em risco. Organizações que utilizam o curl para interações com APIs, transferências de arquivos ou integrações backend devem priorizar a aplicação de patches.
As falhas foram identificadas principalmente pelo pesquisador Stanislav Fort e incluem fraquezas no gerenciamento do estado de autenticação, comportamento de proxy e imposição de conexões seguras. Uma vulnerabilidade afeta a funcionalidade WebSocket quando compilada com GnuTLS, enquanto outra impacta como o curl lida com a vinculação de interfaces de rede durante o reuso de conexões.
Falhas em Autenticação e Tratamento de Proxy
- CVE-2026-86409: O curl não limpa corretamente o estado de autenticação AWS SigV4 quando CURLOPT_AWS_SIGV4 é definido como NULL, podendo vazar credenciais.
- CVE-2026-86414 / CVE-2026-86410: Proxies HTTP podem enganar o curl para enviar credenciais a eles ou ignorar a verificação de hosts SSH durante redirecionamentos para URLs SFTP/SCP.
- CVE-2026-107929: Vinculação incorreta de interface durante o reuso de conexões pode fazer com que o tráfego origine de interfaces de rede não intencionais.
Problemas com HSTS, Cookies e Segurança de Memória
- CVE-2026-87862: Tratamento inadequado de entradas HSTS permite que atacantes degrade conexões para HTTP não criptografado.
- CVE-2026-87863: Valores malformados de max-age do HSTS que excedem os limites do sistema podem levar à negação de serviço ou perda de dados.
- CVE-2026-86412: Entradas corrompidas no arquivo de cookies que não podem ser recarregadas podem causar falha nos processos do curl.
- CVE-2026-107928: Leitura fora dos limites no caminho de envio WebSocket quando o curl é compilado com suporte a GnuTLS pode vazar conteúdo da memória.
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.