CVE-2026-8932
Coincidencia incompleta de configuración mTLS en la reutilización de conexiones
- Publicado
- 3 jul 2026
- Actualizado
- 15 sept 2026
- Asignación de CNA
- curl
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:NBajo · próximos 30 días
- Percentil
- 32,7 %
- Fecha del modelo
- 23 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
libcurl reutilizaría una conexión creada previamente incluso cuando se había cambiado alguna opción relacionada con la configuración de mTLS que debería haber prohibido la reutilización. libcurl mantiene las conexiones utilizadas previamente en un grupo de conexiones para que las transferencias posteriores las reutilicen si alguna coincide con la configuración. Sin embargo, algunas configuraciones de TLS relacionadas con los certificados de cliente quedaron excluidas de las comprobaciones de coincidencia de configuración, lo que hacía que coincidieran con demasiada facilidad. En particular, las opciones relacionadas con la clave privada.
Fuentes
- CVE-2026-8932Informativo
CVE-2026-8932
Prueba de concepto que reproduce CVE-2026-8932, un fallo de coincidencia en la configuración incompleta de mTLS en la reutilización de conexiones de libcurl, con un servidor de laboratorio local y un PoC en C.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.