curl 8.23.0 tetter use-after-free som lar en ondsinnet HTTP/2-server kjøre kode på klienten

23 byte er all plassen angriperen har til nyttelasten. Likevel klarte en forsker hos Anthropic å gjøre en minnefeil i curl om til kodekjøring på klientmaskinen. curl-prosjektet slapp versjon 8.23.0 den 14. oktober med fiks for CVE-2026-92392, og hovedutvikler Daniel Stenberg skriver på bloggen sin at det er en av de verste sårbarhetene i curl på lenge. Feilen ligger i alle versjoner fra 8.12.0 til og med 8.22.0, både i kommandolinjeverktøyet og i libcurl.

Angrepet går fra serveren mot klienten. Klienten må laste opp rundt 135 KB over HTTP/2 til en server angriperen kontrollerer, og sertifikatet må være gyldig. Serveren stanser opplastingen ved å sette HTTP/2-vinduet til null, sender en bit av svaret og resetter strømmen uten å lukke forbindelsen. curl rydder opp overføringen, men etterlater en peker til det frigjorte easy handle-objektet. Når applikasjonen rydder opp, havner data fra serveren i det samme minnet, en funksjonspeker blir overskrevet og curl kaller den. En utgående forespørsel lekker underveis lokale adresser, som angriperen trenger for å komme forbi ASLR.

«Det mest sannsynlige utfallet av et angrepsforsøk er heller bare et krasj.» — Daniel Stenberg, hovedutvikler i curl

Derfor er feilen gradert High, ikke Critical. Sikkerhetsvarselet på curl.se lister betingelsene for kodekjøring: angriperen må kjenne nøyaktig curl-versjon, arkitektur, libc-allokator og heap-layout, treffe timingen på to parallelle overføringer og få plass til kommandoen i omtrent 23 byte. curl publiserer ikke CVSS-score selv.

Funnet kom fra Luna Tong i Anthropic via selskapets OSS Scanner, og varselet krediterer «Luna with Claude, Anthropic». Rapporten kom inn 15. september, ble bekreftet i løpet av timer, og prosjektet kortet ned utgivelsessyklusen fra åtte til seks uker for å få ut fiksen. Ifølge The Hacker News kom rapporten tre uker før Anthropic åpnet OSS Scanner for alle 8. oktober. Kontrasten er tydelig: Stenberg skrev i juli 2025 at omtrent en femtedel av sikkerhetsrapportene til curl det året var KI-generert søppel.

Prosjektet peker selv på språket:

«Denne feilen regnes som en C-feil (som sannsynligvis ville vært unngått om vi ikke hadde brukt C).» — curl, sikkerhetsvarselet for CVE-2026-92392

Likevel har prosjektet ingen planer om å skrive curl om i Rust eller noe annet. Utgivelsen retter totalt 24 CVE-er, ifølge The Hacker News, og de 23 andre er gradert Low.

For deg som bygger agenter er dette mer enn en distro-oppdatering. libcurl ligger i mange programmer uten at det står noe sted, og en agent som laster opp filer med curl til en URL modellen har valgt, er nøyaktig den klienten angrepet krever.

Hva bør du gjøre?

1. Kjør curl --version på maskinene og i containerbildene dine. Eldre grener er fikset fra 8.20.2, 8.16.2 og 8.14.3.
2. Oppgrader til 8.23.0, eller sjekk at distroens pakke har fått backporten av fiksen.
3. Bruk --http1.1 i skript, eller sett CURLOPT_HTTP_VERSION til CURL_HTTP_VERSION_1_1 i kode, til du har oppgradert. En build uten HTTP/2-støtte kan ikke nå den sårbare kodestien.