CVE-2026-9545
Açıklama
Bu senaryoda, libcurl başlangıçtaki aktarımlar için önce uygun bir HTTP/3 sunucusu kullanır ve aynı siteye ikinci bir aktarım yaptığında, bu sunucu geçerli bir sertifikası olmayan saldırganın taklit makinesiyle değiştirilmiştir. libcurl, önbelleğe alınmış bir SSL oturumuyla (`CURLOPT_SSL_SESSIONID_CACHE` devre dışı bırakılmamışsa) ve erken veri etkinleştirilmişken (`CURLOPT_SSL_OPTIONS` içinde `CURLSSLOPT_EARLYDATA` biti ayarlanmışsa) ana bilgisayara ikinci kez döndüğünde, sertifika doğrulama hatasını uygulamadan *önce* ikinci isteğin baytlarını bu yeni bağlantı üzerinden gönderebilir. Bu durum, potansiyel olarak hassas bilgilerin sızmasına neden olabilir.
Nasıl düzeltilir
- haxx curl8.21.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| haxx curl | 8.11.0 ≤ v < 8.21.0 | 8.21.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.