🚨 CVE-2026-8932 - libcurl का सबसे पुराना सुरक्षा बग

libcurl में अपूर्ण mTLS कॉन्फ़िगरेशन मिलान

libcurl में अब तक का सबसे पुराना सुरक्षा खतरा जो 25 वर्षों से अधिक समय तक अनदेखा रहा।

📖 अवलोकन

CVE-2026-8932 libcurl में एक सुरक्षा खामी है जिसमें म्यूचुअल TLS (mTLS) क्लाइंट प्रमाणीकरण सेटिंग्स बदलने के बाद लाइब्रेरी किसी मौजूदा TLS कनेक्शन को गलत तरीके से पुनः उपयोग कर सकती है।

चूंकि libcurl के कनेक्शन मिलान तर्क में कुछ निजी कुंजी-संबंधित विकल्प शामिल नहीं थे, एक मौजूदा प्रमाणित कनेक्शन का पुन: उपयोग हो सकता था, भले ही एक भिन्न क्लाइंट प्रमाणपत्र कॉन्फ़िगरेशन को नया TLS हैंडशेक शुरू करना चाहिए था।

नोट: स्टैंडअलोन curl कमांड-लाइन टूल प्रभावित नहीं है। केवल libcurl को एम्बेड करने वाले एप्लिकेशन असुरक्षित हैं।

⚠️ तकनीकी विवरण

🔍 मूल कारण

जब libcurl मूल्यांकन करता है कि क्या किसी मौजूदा TLS कनेक्शन का पुन: उपयोग किया जा सकता है, तो कई SSL पैरामीटर तुलना किए जाते हैं।

हालांकि, कुछ mTLS निजी कुंजी कॉन्फ़िगरेशन विकल्प इस तुलना से छोड़ दिए गए थे।

परिणामस्वरूप:

• कनेक्शन पुन: उपयोग सफल होता है
• TLS हैंडशेक छोड़ दिया जाता है
• पिछले क्लाइंट क्रेडेंशियल्स कनेक्शन के साथ जुड़े रहते हैं
• प्रमाणीकरण संदर्भ असंगत हो जाता है

💥 प्रभाव

संभावित परिणामों में शामिल हैं:

• प्रमाणीकरण भ्रम
• गलत mTLS पहचान पुन: उपयोग
• अप्रत्याशित क्लाइंट प्रमाणपत्र उपयोग
• सुरक्षा नीति उल्लंघन
• गलत क्रेडेंशियल पृथक्करण

यद्यपि शोषण के लिए विशिष्ट एप्लिकेशन व्यवहार की आवश्यकता होती है, पारस्परिक TLS प्रमाणीकरण पर भारी निर्भर वातावरणों को तुरंत अपडेट करना चाहिए।

📌 प्रभावित संस्करण

🛠 शमन

• libcurl 8.21.0 या बाद के संस्करण में अपग्रेड करें।
• यदि अपग्रेड तुरंत संभव न हो तो आधिकारिक सुरक्षा पैच लागू करें।
• mTLS क्लाइंट प्रमाणपत्र या निजी कुंजी सेटिंग्स बदलने के बाद libcurl हैंडल को पुन: उपयोग करने से बचें।
• उन एप्लिकेशन में TLS सत्र व्यवहार को मान्य करें जो गतिशील रूप से क्लाइंट प्रमाणपत्र बदलते हैं।

🔬 हमला परिदृश्य

Application
      │
      ▼
Creates TLS connection
      │
      ▼
Authenticates with Client Certificate A
      │
      ▼
Application switches to Certificate B
      │
      ▼
libcurl incorrectly reuses old TLS connection
      │
      ▼
Certificate A remains in use
      │
      ▼
Authentication mismatch

📸 प्रदर्शन

🧠 यह क्यों मायने रखता है

मेमोरी भ्रष्टाचार खामियों के विपरीत, यह मुद्दा TLS कनेक्शन पुन: उपयोग को संचालित करने वाले तर्क को प्रभावित करता है।

क्लाइंट क्रेडेंशियल्स बदलने के बाद एक नया प्रमाणित सत्र की उम्मीद करने वाले एप्लिकेशन अनजाने में पुराने सत्र का उपयोग जारी रख सकते हैं, संभावित रूप से प्रमाणीकरण सीमाओं का उल्लंघन कर सकते हैं।

🏆 ऐतिहासिक महत्व

यह खामी उल्लेखनीय है क्योंकि यह:

• 🕒 25 वर्षों से अधिक समय तक विद्यमान थी
• 📚 curl 7.7 (2001) में उत्पन्न हुई
• 🛡 libcurl में अब तक ठीक की गई सबसे पुरानी ज्ञात सुरक्षा समस्या बन गई

📚 संदर्भ

• आधिकारिक curl सुरक्षा सलाहकार
• CVE-2026-8932
• CWE-305 प्रमाणीकरण बाइपास