CVE-2026-8932
Unvollständiger mTLS-Konfigurationsabgleich bei Verbindungswiederverwendung
- Veröffentlicht
- 03.07.2026
- Aktualisiert
- 15.09.2026
- CNA zuweisen
- curl
- Beweise beobachtet
- 08.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:NNiedrig · nächste 30 Tage
- Perzentil
- 32,7 %
- Modelldatum
- 23.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
libcurl würde eine zuvor erstellte Verbindung selbst dann wiederverwenden, wenn eine Option im Zusammenhang mit der mTLS-Konfiguration geändert worden war, die die Wiederverwendung hätte verhindern sollen. libcurl hält zuvor verwendete Verbindungen in einem Verbindungspool vor, damit nachfolgende Übertragungen eine davon wiederverwenden können, sofern eine davon zur Einrichtung passt. Allerdings wurden einige TLS-Einstellungen in Bezug auf Client-Zertifikate aus den Prüfungen zum Konfigurationsabgleich ausgelassen, wodurch sie zu leicht übereinstimmten. Insbesondere Optionen, die sich auf den privaten Schlüssel beziehen.
Quellen
- CVE-2026-8932Informativ
CVE-2026-8932
Proof-of-Concept zur Reproduktion von CVE-2026-8932, einer Schwachstelle durch unvollständige mTLS-Konfigurationsübereinstimmung bei der Verbindungswiederverwendung in libcurl, mit einem lokalen Lab-Server und einem C-PoC.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.