Curl wydaje nową wersję naprawiającą 'high' RCE-kwetsbaarheid
18 października 2026 · Czas czytania: 1 min
Opublikowano nową wersję Curl, która naprawia ponad dwadzieścia podatności, w tym problem bezpieczeństwa umożliwiający zdalne wykonanie kodu (RCE), który został odkryty przez firmę AI Anthropic. Mimo że podatność ta umożliwia zdalne wykonywanie kodu, wpływ CVE-2026-92392 oceniono jako 'wysoki', a nie krytyczny. Jak wyjaśnił opiekun projektu Curl, Daniel Stenberg, wynika to z trudności w wykorzystaniu tego problemu. Niemniej jednak określił to jako 'nieprzyjemną' podatność Curl.
Curl jest szeroko stosowaną biblioteką i narzędziem wiersza poleceń do przesyłania i odbierania danych za pomocą różnych protokołów sieciowych. CVE-2026-92392 może wystąpić podczas przesyłania plików za pomocą Curl na złośliwy serwer. Może to prowadzić do problemu z użyciem po zwolnieniu (use after free), co umożliwia serwerowi wykonanie kodu na systemie klienta.
Stenberg zwrócił uwagę na powagę problemu. Biorąc pod uwagę warunki, w jakich możliwe jest jego wykorzystanie, zdecydowano się na ocenę wpływu jako wysoki, a nie krytyczny. Podatności oznaczone jako wysokie rzadko występują w Curl. Od 2021 roku tylko dwie podatności otrzymały ten status. Użytkownicy i administratorzy są zachęcani do aktualizacji do wersji Curl 8.23.0, w której problemy zostały naprawione.