🚨 CVE-2026-8932 - libcurl 最古老的安全漏洞

libcurl 中不完整的 mTLS 配置匹配

libcurl 中修补的最古老安全漏洞——隐藏超过25年未被发现。

📖 概述

CVE-2026-8932 是 libcurl 中的一个安全漏洞，该库可能在双向 TLS（mTLS） 客户端认证设置更改后错误地重用现有 TLS 连接。

由于某些私钥相关选项未被纳入 libcurl 的连接匹配逻辑，即使客户端证书配置已变更且应强制进行新的 TLS 握手，现有已验证连接仍可能被重用。

注意： 独立 curl 命令行工具不受影响。仅嵌入 libcurl 的应用程序存在漏洞。

⚠️ 技术详情

🔍 根本原因

当 libcurl 评估现有 TLS 连接是否可以重用时，会比较多个 SSL 参数。

然而，某些mTLS 私钥配置选项被排除在此比较之外。

因此：

• 连接重用以成功而告终
• TLS 握手被跳过
• 先前的客户端凭据仍与该连接关联
• 认证上下文变得不一致

💥 影响

可能导致的后果包括：

• 认证混淆
• mTLS 身份错误重用
• 意外使用客户端证书
• 安全策略违规
• 错误的凭据隔离

虽然利用需要特定的应用程序行为，但高度依赖双向 TLS 认证的环境应立即更新。

📌 受影响版本

🛠 缓解措施

• 升级至 libcurl 8.21.0 或更高版本。
• 若无法立即升级，请应用官方安全补丁。
• 在更改 mTLS 客户端证书或私钥设置后，避免重用 libcurl 句柄。
• 在动态切换客户端证书的应用程序中验证 TLS 会话行为。

🔬 攻击场景

Application
      │
      ▼
Creates TLS connection
      │
      ▼
Authenticates with Client Certificate A
      │
      ▼
Application switches to Certificate B
      │
      ▼
libcurl incorrectly reuses old TLS connection
      │
      ▼
Certificate A remains in use
      │
      ▼
Authentication mismatch

📸 演示

🧠 为何重要

不同于内存损坏漏洞，此问题影响控制 TLS 连接重用的逻辑。

应用程序在更改客户端凭据后期望建立新的认证会话，却可能不知不觉地继续使用旧会话，从而可能突破认证边界。

🏆 历史意义

该漏洞之所以引人注目，是因为：

• 🕒 存在超过 25 年
• 📚 起源于 curl 7.7 (2001)
• 🛡 成为 libcurl 有史以来修复的最古老安全问题

📚 参考

• 官方 curl 安全公告
• CVE-2026-8932
• CWE-305 认证绕过