CVE-2026-12064
Açıklama
Bir kullanıcı, `--proto-default` sftp (veya scp) ile birleştirilmiş şemasız bir URL kullanarak curl'ü çağırdığında, araç katmanı ile libcurl arasında bir kopukluk meydana gelir. Araç katmanı URL şemasını yanlış çıkarır ve bu durum CURLOPT_SSH_HOST_PUBLIC_KEY_SHA256 ve CURLOPT_SSH_KNOWNHOSTS gibi kritik SSH güvenlik seçeneklerinin başlatılmasının hatalı bir şekilde atlanmasına neden olur. Buna karşılık, libcurl çalışma zamanı CURLOPT_DEFAULT_PROTOCOL seçeneğine başarıyla uyar ve bağlantıyı belirtildiği üzere SFTP/SCP üzerinden kurar. Araç katmanı güvenlik yapılandırmasını atladığı için, bu SSH ana bilgisayar doğrulama seçenekleri sessizce ihmal edilir ve bu da curl'ün herhangi bir hata vermeden doğrulanmamış bir uzak SSH ana bilgisayarına bağlanmasına yol açar.
Nasıl düzeltilir
- haxx curl8.21.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| haxx curl | 7.81.0 ≤ v < 8.21.0 | 8.21.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.