🚨 CVE-2026-8932 - أقدم ثغرة أمنية في libcurl

عدم تطابق تكوين mTLS غير كامل في libcurl

أقدم ثغرة أمنية تم إصلاحها على الإطلاق في libcurl—ظلت دون ملاحظة لأكثر من 25 عامًا.

📖 نظرة عامة

CVE-2026-8932 هو ثغرة أمنية في libcurl حيث قد تعيد المكتبة استخدام اتصال TLS موجود بشكل غير صحيح بعد تغيير إعدادات المصادقة المتبادلة (mTLS) للعميل.

نظرًا لعدم تضمين بعض الخيارات المتعلقة بالمفتاح الخاص في منطق مطابقة الاتصال في libcurl، فقد يتم إعادة استخدام اتصال مصادق عليه موجود حتى عندما كان يجب أن يفرض تكوين شهادة عميل مختلف مصافحة TLS جديدة.

ملاحظة: أداة curl المستقلة لسطر الأوامر غير متأثرة. فقط التطبيقات التي تتضمن libcurl هي المعرضة للخطر.

⚠️ التفاصيل الفنية

🔍 السبب الجذري

عندما يقيم libcurl ما إذا كان يمكن إعادة استخدام اتصال TLS موجود، تتم مقارنة العديد من معلمات SSL.

ومع ذلك، تم حذف بعض خيارات تكوين المفتاح الخاص لـ mTLS من هذه المقارنة.

نتيجة لذلك:

• تنجح إعادة استخدام الاتصال
• يتم تخطي مصافحة TLS
• تبقى بيانات اعتماد العميل السابقة مرتبطة بالاتصال
• يصبح سياق المصادقة غير متسق

💥 التأثير

تشمل العواقب المحتملة:

• ارتباك في المصادقة
• إعادة استخدام هوية mTLS غير صحيحة
• استخدام غير متوقع لشهادة العميل
• انتهاكات سياسة الأمان
• عزل غير صحيح لبيانات الاعتماد

على الرغم من أن الاستغلال يتطلب سلوك تطبيق معين، إلا أن البيئات التي تعتمد بشكل كبير على مصادقة TLS المتبادلة يجب أن تقوم بالتحديث فورًا.

📌 الإصدارات المتأثرة

🛠 التخفيف

• الترقية إلى libcurl 8.21.0 أو أحدث.
• تطبيق التصحيح الأمني الرسمي إذا لم تكن الترقية ممكنة فورًا.
• تجنب إعادة استخدام مقابض libcurl بعد تغيير إعدادات شهادة العميل أو المفتاح الخاص لـ mTLS.
• التحقق من سلوك جلسة TLS في التطبيقات التي تبدّل شهادات العميل ديناميكيًا.

🔬 سيناريو الهجوم

التطبيق
      │
      ▼
إنشاء اتصال TLS
      │
      ▼
المصادقة بشهادة العميل A
      │
      ▼
يقوم التطبيق بالتبديل إلى الشهادة B
      │
      ▼
يعيد libcurl استخدام اتصال TLS القديم بشكل غير صحيح
      │
      ▼
تبقى الشهادة A قيد الاستخدام
      │
      ▼
عدم تطابق المصادقة

📸 عرض توضيحي

🧠 لماذا هو مهم

على عكس ثغرات تلف الذاكرة، تؤثر هذه المشكلة على المنطق الذي يحكم إعادة استخدام اتصال TLS.

قد تستمر التطبيقات التي تتوقع جلسة مصادقة جديدة بعد تغيير بيانات اعتماد العميل في استخدام جلسة قديمة دون علم، مما قد ينتهك حدود المصادقة.

🏆 الأهمية التاريخية

تُعتبر هذه الثغرة ملحوظة لأنها:

• 🕒 ظلت موجودة لأكثر من 25 عامًا
• 📚 نشأت في curl 7.7 (2001)
• 🛡 أصبحت أقدم مشكلة أمنية معروفة تم إصلاحها في libcurl

📚 المراجع

• النشرة الأمنية الرسمية لـ curl
• CVE-2026-8932
• CWE-305 تجاوز المصادقة