CVE-2026-8932
مطابقة إعدادات mTLS غير مكتملة في إعادة استخدام الاتصال
- تم النشر
- 03/07/2026
- محدث
- 15/09/2026
- تخصيص CNA
- curl
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:Nمنخفض · الثلاثين يومًا القادمة
- المئوية
- 33.6%
- تاريخ الموديل
- 25/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
كان libcurl يعيد استخدام اتصال تم إنشاؤه مسبقًا حتى عندما تم تغيير بعض الخيارات المتعلقة بإعداد mTLS والتي كان ينبغي أن تمنع إعادة الاستخدام. يحتفظ libcurl بالاتصالات المستخدمة سابقًا في تجمع اتصالات لإعادة استخدامها في النقلات اللاحقة إذا كان أحدها يطابق الإعداد. ومع ذلك، تم استبعاد بعض إعدادات TLS المتعلقة بشهادات العميل من فحوصات مطابقة الإعداد، مما جعلها تتطابق بسهولة كبيرة. وبشكل خاص، الخيارات المتعلقة بالمفتاح الخاص.
المصادر
- CVE-2026-8932إعلامية
CVE-2026-8932
إثبات مفهوم يعيد إنتاج CVE-2026-8932، وهو خلل في مطابقة إعدادات mTLS غير المكتملة في إعادة استخدام اتصالات libcurl، مع خادم مختبري محلي وإثبات مفهوم بلغة C.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.