CVE-2026-8932
corrispondenza incompleta della configurazione mTLS nel riutilizzo delle connessioni
- Pubblicato
- 3 lug 2026
- Aggiornato
- 15 set 2026
- Assegnazione CNA
- curl
- Evidenza osservata
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:NBasso · prossimi 30 giorni
- Percentile
- 32,7%
- Data del modello
- 23 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
libcurl riutilizzava una connessione precedentemente creata anche quando era stata modificata un'opzione relativa alla configurazione mTLS che avrebbe dovuto impedirne il riutilizzo. libcurl mantiene le connessioni usate in precedenza in un pool di connessioni per il riutilizzo in trasferimenti successivi, se una di esse corrisponde alla configurazione. Tuttavia, alcune impostazioni TLS relative ai certificati client erano state escluse dai controlli di corrispondenza della configurazione, rendendo la corrispondenza troppo semplice. In particolare, le opzioni relative alla chiave privata.
Fonti
- CVE-2026-8932Informativo
CVE-2026-8932
Proof-of-concept che riproduce CVE-2026-8932, una falla di corrispondenza incompleta nella configurazione mTLS nel riutilizzo delle connessioni di libcurl, con un server lab locale e un PoC in C.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.