CVE-2026-8932
conn पुन: उपयोग में अपूर्ण mTLS config मिलान
- प्रकाशित
- 3 जुल॰ 2026
- अद्यतन
- 15 सित॰ 2026
- सीएनए असाइन करना
- curl
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:Nकम · अगले 30 दिन
- प्रतिशत
- 32.7%
- मॉडल दिनांक
- 23 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
libcurl पहले से बनाए गए कनेक्शन का पुन: उपयोग कर लेता था, भले ही mTLS कॉन्फ़िगरेशन से संबंधित कोई विकल्प बदल दिया गया हो जिससे पुन: उपयोग प्रतिबंधित हो जाना चाहिए था। libcurl पहले उपयोग किए गए कनेक्शनों को एक कनेक्शन पूल में रखता है ताकि बाद के ट्रांसफ़र उनमें से किसी एक का पुन: उपयोग कर सकें, यदि वह सेटअप से मेल खाता हो। हालाँकि, क्लाइंट प्रमाणपत्रों से संबंधित कुछ TLS सेटिंग्स कॉन्फ़िगरेशन मिलान जाँचों से बाहर रह गई थीं, जिससे वे बहुत आसानी से मेल खा जाती थीं। विशेष रूप से निजी कुंजी (private key) से संबंधित विकल्प।
स्रोत
- CVE-2026-8932जानकारीपूर्ण
CVE-2026-8932
CVE-2026-8932 का प्रूफ-ऑफ-कॉन्सेप्ट, जो libcurl कनेक्शन पुनःउपयोग में अपूर्ण mTLS कॉन्फ़िगरेशन मिलान दोष है, जिसमें एक स्थानीय लैब सर्वर और C PoC शामिल है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।