🚨 CVE-2026-8932 - Der älteste libcurl-Sicherheitsfehler

Unvollständiges mTLS-Konfigurationsmatching in libcurl

Der älteste jemals in libcurl behobene Sicherheitsfehler – blieb über 25 Jahre unentdeckt.

📖 Übersicht

CVE-2026-8932 ist eine Sicherheitslücke in libcurl, bei der die Bibliothek fälschlicherweise eine bestehende TLS-Verbindung wiederverwenden kann, nachdem die Einstellungen für die gegenseitige TLS-Authentifizierung (mTLS) des Clients geändert wurden.

Da bestimmte privatschlüsselbezogene Optionen nicht in der Verbindungsabgleichslogik von libcurl enthalten waren, konnte eine bestehende authentifizierte Verbindung wiederverwendet werden, selbst wenn eine andere Client-Zertifikatskonfiguration einen neuen TLS-Handshake hätte erzwingen sollen.

Hinweis: Das eigenständige Befehlszeilentool curl ist nicht betroffen. Nur Anwendungen, die libcurl einbetten, sind verwundbar.

⚠️ Technische Details

🔍 Ursache

Wenn libcurl prüft, ob eine bestehende TLS-Verbindung wiederverwendet werden kann, werden mehrere SSL-Parameter verglichen.

Allerdings wurden einige mTLS-Privatschlüssel-Konfigurationsoptionen aus diesem Vergleich ausgeschlossen.

Als Ergebnis:

• Verbindungswiederverwendung erfolgreich
• TLS-Handshake wird übersprungen
• Vorherige Client-Anmeldeinformationen bleiben der Verbindung zugeordnet
• Authentifizierungskontext wird inkonsistent

💥 Auswirkungen

Mögliche Konsequenzen sind:

• Authentifizierungsverwirrung
• Falsche Wiederverwendung der mTLS-Identität
• Unerwartete Verwendung des Client-Zertifikats
• Verletzung von Sicherheitsrichtlinien
• Falsche Isolierung von Anmeldeinformationen

Obwohl die Ausnutzung spezifisches Anwendungsverhalten erfordert, sollten Umgebungen, die stark auf gegenseitige TLS-Authentifizierung angewiesen sind, sofort aktualisieren.

📌 Betroffene Versionen

🛠 Maßnahmen

• Aktualisieren Sie auf libcurl 8.21.0 oder neuer.
• Wenden Sie den offiziellen Sicherheitspatch an, wenn ein Upgrade nicht sofort möglich ist.
• Vermeiden Sie die Wiederverwendung von libcurl-Handles nach Änderungen der mTLS-Client-Zertifikats- oder Privatschlüsseleinstellungen.
• Überprüfen Sie das TLS-Sitzungsverhalten in Anwendungen, die dynamisch Client-Zertifikate wechseln.

🔬 Angriffsszenario

Application
      │
      ▼
Creates TLS connection
      │
      ▼
Authenticates with Client Certificate A
      │
      ▼
Application switches to Certificate B
      │
      ▼
libcurl incorrectly reuses old TLS connection
      │
      ▼
Certificate A remains in use
      │
      ▼
Authentication mismatch

📸 Demo

🧠 Warum es wichtig ist

Anders als Speicherfehler betrifft dieses Problem die Logik, die die Wiederverwendung von TLS-Verbindungen steuert.

Anwendungen, die nach Änderung der Client-Anmeldeinformationen eine neue authentifizierte Sitzung erwarten, können unwissentlich eine alte Sitzung weiterverwenden und möglicherweise Authentifizierungsgrenzen verletzen.

🏆 Historische Bedeutung

Diese Sicherheitslücke ist bemerkenswert, weil sie:

• 🕒 Über 25 Jahre bestanden
• 📚 Ihren Ursprung in curl 7.7 (2001) hat
• 🛡 Zum ältesten bekannten Sicherheitsproblem wurde, das jemals in libcurl behoben wurde

📚 Referenzen

• Offizielles curl-Sicherheitsbulletin
• CVE-2026-8932
• CWE-305 Authentifizierungsumgehung