Наиболее серьезная уязвимость, которая была устранена, позволяла выполнять код через протокол HTTP/2. Обнаружена она была компанией Anthropic.
Новейшая версия curl устраняет серьезную уязвимость и еще двадцать три незначительных проблем безопасности, а также прекращает поддержку протокола SMB. Эта библиотека с открытым исходным кодом, предназначенная для работы с URL-адресами, установлена практически на каждом подключенном устройстве во всем мире, поэтому обновление затрагивает миллиарды установок.
"Одна из самых серьезных уязвимостей за долгое время", - так основатель библиотеки `curl`, Даниель Стенберг, охарактеризовал ошибку "use-after-free" с идентификатором CVE-2026-92392 (уровень критичности: высокий). Злонамеренный HTTP/2-сервер может использовать эту уязвимость для выполнения произвольного кода. Однако для этого требуется загрузка данных пользователем, поэтому атака не происходит автоматически. Стенберг подробно описал необходимые условия и все детали этой уязвимости в статье. В ней он указал, что компанию Anthropic обнаружила эту ошибку, и еще раз подчеркнул: "Мы не будем переписывать `curl`, например, на языке с повышенной безопасностью памяти, таком как Rust".
Кроме того, версия cURL 8.23.0 устраняет следующие уязвимости безопасности с низким уровнем серьезности: CVE-2026-107928, CVE-2026-107929, CVE-2026-86409, CVE-2026-86410, CVE-2026-86411, CVE-2026-86412, CVE-2026-86413, CVE-2026-86414, CVE-2026-86415, CVE-2026-87861, CVE-2026-87862, CVE-2026-87863, CVE-2026-87864, CVE-2026-87865, CVE-2026-87866, CVE-2026-92386, CVE-2026-92387, CVE-2026-92388, CVE-2026-92389, CVE-2026-92390, CVE-2026-92391, CVE-2026-94265 и CVE-2026-94266. Для каждой из этих уязвимостей проект предоставляет отдельное уведомление, ссылка на которое размещена на странице обзора. Традиционно, cURL не присваивает оценку CVSS; вместо этого используются уровни серьезности от "низкого" до "критического".
Ожидается, что обновленная версия cURL в ближайшее время появится во всех программных и аппаратных системах, использующих этот продукт, посредством обычных процессов обновления. Пользователи, желающие ускорить этот процесс, могут самостоятельно инициировать обновление. В редких случаях пользователям может потребоваться вручную заменить библиотеку curl и связанные с ней утилиты командной строки.
Поддержка Samba будет прекращена.
Пользователям бесплатной библиотеки придется отказаться от поддержки протокола SMB, как в его открытой версии, так и в версии с использованием TLS (SMBS). Причина этого указана в блоге Stenbergs: реализация NTLM, необходимая для поддержки SMB, всегда была подвержена ошибкам в curl, к тому же она поддерживала только версию SMBv1.
Curl – одна из самых популярных библиотек в мире; она используется в смартфонах, подключенных автомобилях и даже в вредоносном программном обеспечении macOS под названием Clickfix. Библиотека URL и связанная с ней утилита командной строки установлены на миллиардах устройств. Даниэль Стенберг также является видным экспертом в этой области; он часто выступал и писал о пользе и недостатках искусственного интеллекта. В июле его проект даже приостановил прием сообщений об ошибках, назвав это "летом блаженства".
Первоисточник — Heise
Сообщите редакции. Существенные исправления мы отмечаем в материале