⚠️ Detalhes Técnicos

🔍 Causa Raiz

Ao avaliar se uma conexão TLS existente pode ser reutilizada, o libcurl compara vários parâmetros SSL.

No entanto, algumas opções de configuração de chave privada mTLS foram omitidas dessa comparação.

Como resultado:

• A reutilização da conexão é bem-sucedida
• O handshake TLS é ignorado
• As credenciais anteriores do cliente permanecem associadas à conexão
• O contexto de autenticação torna-se inconsistente

💥 Impacto

Possíveis consequências incluem:

• Confusão de autenticação
• Reutilização incorreta de identidade mTLS
• Uso inesperado de certificado de cliente
• Violações de política de segurança
• Isolamento incorreto de credenciais

Embora a exploração exija comportamento específico da aplicação, ambientes que dependem fortemente da autenticação mútua TLS devem atualizar imediatamente.

📌 Versões Afetadas

🛠 Mitigação

• Atualize para libcurl 8.21.0 ou posterior.
• Aplique o patch de segurança oficial se a atualização não for imediatamente possível.
• Evite reutilizar handles do libcurl após alterar as configurações de certificado de cliente ou chave privada mTLS.
• Valide o comportamento da sessão TLS em aplicações que alternam dinamicamente certificados de cliente.

🔬 Cenário de Ataque

📸 Demonstração

🧠 Por Que Isso é Importante

Ao contrário de vulnerabilidades de corrupção de memória, este problema afeta a lógica que rege a reutilização de conexões TLS.

Aplicações que esperam uma nova sessão autenticada após alterar as credenciais do cliente podem continuar usando uma sessão antiga sem saber, potencialmente violando limites de autenticação.

🏆 Significado Histórico

Esta vulnerabilidade é notável porque:

• 🕒 Existiu por mais de 25 anos
• 📚 Originou-se no curl 7.7 (2001)
• 🛡️ Tornou-se o problema de segurança mais antigo já corrigido no libcurl

📚 Referências

• Advisory de Segurança Oficial do curl
• CVE-2026-8932
• CWE-305 Bypass de Autenticação