LONDON (IT BOLTWISE) – curl patcht eine HTTP/2-Lücke, bei der ein bösartiger Upload-Server die Speichersituation des Clients gezielt ausnutzt. Die Schwachstelle ist als Use-after-free (CVE-2026-92392) klassifiziert und betrifft curl sowie libcurl von 8.12.0 bis 8.22.0. Der Fix ist in curl 8.23.0 enthalten; wer nicht aktualisieren kann, soll HTTP/2 bis dahin deaktivieren. Kritisch ist vor allem, dass Angriffe über die Server-Seite laufen und nicht zwingend einen fehlerhaften Client voraussetzen.
Mit curl 8.23.0 schließt das Projekt eine HTTP/2-Problematik, die in der Praxis mehr als nur einen Absturz auslösen kann: Ein Angreifer kann über einen präparierten Upload-Server die Speicherlogik im Client so verwirren, dass daraus potenziell Code-Ausführung wird. Technisch handelt es sich um ein Use-after-free, das unter CVE-2026-92392 geführt wird. curl stuft die Lücke auf seiner eigenen vierstufigen Skala als High ein – und begründet das nachvollziehbar damit, dass ein erfolgreiches Ausnutzen präzises Timing und Kenntnisse über Build- und Speicherlayout erfordert. Genau diese Abhängigkeiten sind für viele klassische „Remote-only“-Szenarien der Grund, warum es nicht automatisch als Critical durchgeht.
Der betroffene Umfang wirkt auf den ersten Blick „nur“ auf ältere Versionen, ist aber in der typischen Softwarelandschaft relevant: Die Lücke betrifft curl und libcurl in der Bandbreite von 8.12.0 bis 8.22.0 – also sowohl das Kommandozeilen-Tool als auch die Bibliothek, auf die zahlreiche andere Programme für Web-Transfers setzen. curl hatte das Problem als erstes High-severes Paket seit dem SOCKS5-Heap-Overflow im Oktober 2023 bezeichnet. Um den Fix rasch zu verteilen, verkürzte das Projekt seinen Release-Zyklus um zwei Wochen. Der zentrale Mechanismus ist serverseitig: Der Client muss über HTTP/2 etwa 135 KB hochladen, der Server muss kontrolliert sein und das TLS-Zertifikat muss die Prüfungen des Clients bestehen. Das bedeutet: Angreifer können sich auf die Interaktion während der Upload-Session konzentrieren, statt etwaige Client-Trust-Annahmen zu brechen.
Interessant ist dabei, wie eng die Ausnutzbarkeit an den HTTP/2-Pfad gekoppelt ist. libcurl verhandelt HTTP/2 standardmäßig für https: //-URLs, sofern der Server es anbietet, und die Bibliothek muss mit HTTP/2-Unterstützung gebaut worden sein. Fehlt dieses Build-Feature, kann libcurl gar nicht in den relevanten Upload-Workflow gelangen – die Schwachstelle bleibt dann praktisch „toter Code“. Wer nicht sofort updaten kann, bekommt daher aus der Sicherheitsberatung einen sehr konkreten Ausweg: HTTP/2 nicht verwenden. Auf CLI-Ebene erzwingt --http1.1 HTTP/1.1; in Anwendungen steuern Entwickler die Option über CURLOPT_HTTP_VERSION mit CURL_HTTP_VERSION_1_1. curl weist dabei darauf hin, dass dieser Wert als Anfrageeigenschaft gilt, weil eine bestehende Verbindung unter Umständen wiederverwendet werden kann.
Wie aus der Lücke potenziell Code-Ausführung wird, lässt sich an der beschriebenen Interaktion im HTTP/2-Transfer festmachen. In HTTP/2 laufen mehrere Transfers über eine gemeinsame Verbindung, libcurl verfolgt jeden Transfer mit einem Objekt namens „easy handle“. Während des Uploads blockiert ein bösartiger Server den Transfer, setzt das HTTP/2-Fenster zeitweise auf Null, sendet einen Teil der Antwort und resettet dann den Stream, während die Verbindung offen bleibt. curl interpretiert den Reset als Signal zum Retry. In der Cleanup-Phase passiert dann Entscheidendes: curl informiert zuerst die HTTP/2-Schicht, dass der Transfer abgeschlossen ist, und spült anschließend den Rest des nicht gesendeten Uploads noch in derselben Verbindung. Da dabei der Transfer nicht mehr korrekt registriert ist, werden die übrig gebliebenen Bytes als Start eines neuen Requests gelesen.
Der Proof-of-Concept beschreibt genau diese „Verwechslung“: Der Upload enthält ein Muster, das beim erneuten Interpretieren wie Request-Zeilen wirkt. Sobald ein neuer Stream aufgesetzt wird, wird dabei erneut ein Stream-Objekt geöffnet, das einen Pointer auf das easy-handle speichert. Der Retry läuft über eine neue HTTP/1.1-Verbindung, woraufhin die Anwendung das Handle freigibt. In der alten HTTP/2-Verbindung bleibt der gespeicherte Pointer jedoch erhalten; sobald der Server dort später Frames für diesen Stream schickt – etwa in einem Moment, in dem das Programm gerade beendet wird – kann die alte Verbindung den Handle-Pointer erneut verwenden. In dem beschriebenen Exploit landen die vom Server gelieferten Daten in dem Speicherbereich, der bereits wiederverwendet wurde; zusätzlich wird ein Funktionszeiger überschrieben, sodass curl anschließend eine manipulierte Adresse aufruft. Für diese Kette muss der Angreifer nach curl-Angaben die exakte curl-Version, Architektur, libc-Allocator und die Heap-Anordnung des Zielsystems kennen und außerdem den Payload auf ungefähr 23 Byte passend ausrichten. curl betont zugleich, dass der wahrscheinlichste Ausgang eines realen Angriffsversuchs eher ein Crash ist.
Der eigentliche Fix wird als sehr kleine Codekorrektur beschrieben: Er umfasst im Kern eine sechszeilige Neuordnung in lib/multi.c. Die Änderung stellt sicher, dass die HTTP/2-Schicht die Referenzen auf das handle erst nach dem Flush der verbleibenden Upload-Daten aufgibt, nicht davor. Diese Reihenfolge sorgt dafür, dass kein Stream mehr auf Pointer zugreift, die schon freigegeben wurden. Der Veröffentlichungszeitpunkt fällt auf den 14. Oktober; dort wurde auch die öffentliche Advisory mit dem reproduzierenden Container-/Server-Setup ausgerollt. Das Projekt hatte die Reparatur zuvor angekündigt und den kommenden Fix als High-severes Update für die nächste Veröffentlichung „pre-announced“, wobei der Sicherheitsprozess laut Beschreibung innerhalb weniger Stunden bestätigt worden war. Ergänzend nennt curl eine Maschine-lesbare Advisory mit weiteren Fixständen für drei ältere Release-Linien sowie Hinweise zu Distributionen: Debian 13 (trixie) erhält laut Paket-/DSA-Informationen Updates für die betreffenden 8.14.x-, 8.16.x- und 8.20.x-Zweige, während Debian 12 (bookworm) nicht die verwundbare Codebasis enthält.
Für Betreiber und Entwicklungsteams ergibt sich daraus vor allem eine klare Priorisierung: curl 8.23.0 bzw. die entsprechenden libcurl-Updates müssen zeitnah in CI/CD und in den Rollout-Plan. Da die Veröffentlichung 24 CVEs im Release zusammenfasst und die übrigen 23 als Low bewertet werden, wird die HTTP/2-Lücke zum zentralen Handlungsgrund. Gleichzeitig liefert die Empfehlung „HTTP/2 bis zum Update nicht nutzen“ einen praktikablen Zwischenhebel für Umgebungen, die einen sofortigen Austausch nicht schaffen. Spannend ist auch der Hintergrund der Meldung: Daniel Stenberg erläuterte den Bug in einem begleitenden Beitrag; als Reporter werden Luna Tong von Anthropic sowie ein internes OSS-Scanner-Programm genannt, das Ergebnisse ohne menschliche Review priorisiert und Reproducer inklusive möglicher Patches versendet. Stenberg ordnet das zudem in seine wiederkehrende Einschätzung zur Qualität von automatisierten KI-gestützten Sicherheitsbeiträgen ein – gerade dort, wo Use-after-free-Lücken auftreten, zählt am Ende jedoch weniger die Herkunft der Idee als die präzise Überprüfung des Codepfads und das Timing im Experiment.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "curl schließt HTTP/2-Upload-Lücke: Use-after-free wird zur Code-Ausführung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "curl schließt HTTP/2-Upload-Lücke: Use-after-free wird zur Code-Ausführung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »curl schließt HTTP/2-Upload-Lücke: Use-after-free wird zur Code-Ausführung« bei Google Deutschland suchen, bei Bing oder Google News!