AISLEによるAI支援型のセキュリティ監査で、2つのリリースにまたがる計24件のcurlの脆弱性が見つかりました。認証情報の漏えい、認証境界、プロトコルのコマンドインジェクション、永続的なセキュリティ状態に関する弱点が明らかになっています。
curl 8.22.0では6件の指摘に対処しました。AISLEによると、2026年10月14日にリリースされたcurl 8.23.0ではさらに18件が修正されたということです。最新リリースの修正は全体で24件のセキュリティ修正を含み、AISLEの18件は同リリースで公表された脆弱性の75%を占めます。
このため、監査で見つかった24件と、バージョン8.23.0で対処された脆弱性の合計24件は別の数字であり、混同しないよう注意が必要です。
AISLEが提供したレポートによると、複数の脆弱性では、セキュリティコンテキストが変化した後も、認証情報が接続や転送ハンドルに残り続けていました。
具体的には、古いAWS Signature Version 4ヘッダーが意図しない宛先に届く問題、Negotiate認証がリダイレクト先のオリジンをまたいで引き継がれる問題、ホストの認証情報がHTTPプロキシに漏えいする問題などです。
そのほか、SFTPまたはSCPのリダイレクトによるホスト検証の回避、FTP接続の再利用でクライアント証明書が引き継がれる問題、接続の再利用時にクライアント証明書の自動選択が混乱する問題、CURLINFO_EFFECTIVE_URLを通じてパスワードが露出する問題も確認されました。
これらの問題は、宛先の変更、コネクションプーリング、ID設定が相互に作用すると、本来は正当な機能が認証を損なう可能性があることを示しています。
明白なパーサーの不具合が必要なわけではなく、以前は信頼されていた状態が本来の境界を越えて残存することで、脆弱な挙動が生じます。
CVE-2026-87864は、プロトコルレベルのコマンドインジェクションの具体例です。IMAPのAPPEND操作でCURLOPT_CRLFが有効になっていると、curlは元の入力の長さを通知しながら、改行変換で膨らんだデータを送信します。
受信側のサーバは、通知されたバイト数だけをメッセージ本文として処理します。残りのバイトは、認証済みセッション内で追加のIMAPコマンドとして解釈される可能性があります。
これはIMAPコマンドインジェクションであり、任意のOSコマンド実行を示すものではありません。curlはこの問題の重大度を「低」と評価し、影響を受ける構成は一般的ではないと説明しています。
重要な点として、curlのアドバイザリは影響を受けるバージョンを7.30.0から8.21.0までとし、修正は8.22.0にすでに含まれていると記しています。ただし、公表は10月14日でした。この点は、AISLEがこの問題を最新リリースの指摘に含めている扱いとは異なります。
そのほかの指摘は、FTPのコールバック、TFTPの転送方向、HTTP 103 Early Hintsの処理時におけるコマンドラインのno-clobber保証に影響するものでした。
可用性に関する問題も2件あります。サーバ応答の欠落が無限ループを引き起こす問題と、再帰的なcurl_mime_free操作がスタックを使い果たす問題です。
AISLEによると、同社のワークフローでは、再現コードを作成する前に、候補となる指摘をソースコード、ドキュメント、サポート対象の構成、curlのセキュリティモデルに照らして検証します。報告は人間の研究者がレビューし、セキュリティ上の影響とCVEの適格性はcurl側が独自に判断します。
Daniel Stenberg氏は、この幅広い協力によって公表されたcurlの脆弱性が35件に上ると明らかにしました。AISLEの報告については、詳細かつ正確で、熟練した人間によって裏付けられていると評価しています。同氏は今回の取り組みを、curlにとって5回目の公式な外部監査と位置づけています。
管理者は、curl 8.23.0または各ベンダーの適切なパッチを優先して適用し、libcurlを個別に同梱しているアプリケーションも確認する必要があります。特にCVE-2026-87864については、アップグレードやパッチ適用が現実的でない環境では、IMAPでCURLOPT_CRLFを使用しないようcurlは推奨しています。
脅威調査を効率化し、手作業を減らすために、16,000以上のSOCチームがANY.RUNを活用しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/ai-security-audit-uncovers-24-curl-vulnerabilities/
