curl מתקנת פגיעות Use-After-Free בהעלאות HTTP/2; הוכחת היתכנות הגיעה להרצת קוד

פרויקט curl תיקן פגיעות use-after-free בטיפול בהעלאות HTTP/2. שרת זדוני יכול לפגוע בזיכרון של לקוח curl שמעלה אליו קובץ, ובמקרה מסוים הוכחת היתכנות של החוקר שדיווח עליה אף הגיעה להרצת קוד. הפרויקט עצמו מעריך שהתוצאה הסבירה ביותר היא קריסה.

מזהה	CVE-2026-92392
מוצר וגרסאות	curl ו-libcurl מ-8.12.0 עד 8.22.0
חומרה	High לפי סקלת curl; אין ציון CVSS ו-NVD טרם ניתח
מנוצל בפועל	לא דווח
תיקון	8.23.0; גם 8.14.3, 8.16.2 ו-8.20.2 בענפים המתאימים

מה קרה

לפי הדיווח, התקיפה דורשת שהלקוח יעלה קובץ בגודל של כ-135KB מעל HTTP/2 לשרת שתעודתו עוברת את בדיקות הלקוח. השרת מעכב את ההעברה ומאפס את הזרם תוך השארת החיבור פתוח, ו-curl מנסה שוב. נתוני העלאה שנשארו מתפרשים כבקשה חדשה, וכך נוצר מצביע לאובייקט ששוחרר.

הפגם קיים מאז 8.12.0 (פברואר 2025). ניצול להרצת קוד דורש ידיעה מדויקת של הגרסה, הארכיטקטורה, מנהל הזיכרון ופריסת הערימה, ותזמון מדויק.

נקודות לשים לב

עדכן ל-curl 8.23.0 או לגרסת התיקון בענף שלך. בדוק גם ספריות ואפליקציות שמקשרות את libcurl סטטית או מכילות עותק משלהן.
ב-Debian 13 התיקון בחבילה 8.14.1-2+deb13u7 (DSA-6558-1); לפי הדיווח, Debian 12 אינה מושפעת.
אם אי אפשר לעדכן מיד: הרץ עם --http1.1, או הגדר CURLOPT_HTTP_VERSION ל-CURL_HTTP_VERSION_1_1. זו בקשה בלבד, וחיבור קיים בגרסה אחרת עשוי להיות בשימוש חוזר.
הסיכון נוגע ללקוחות שמעלים קבצים לשרתים שאינם בשליטתך. הורדות רגילות אינן חלק מתרחיש התקיפה שתואר.