CVE-2026-9079

libcurl: nieusuwanie poświadczeń proxy skutkuje ich nieuprawnionym użyciem

CVSS 9.8pub. 2026-07-03upd. 2026-07-07

Biblioteka libcurl zawiera błąd, który powoduje, że polecenie wyczyszczenia poświadczeń uwierzytelniania proxy nie jest wykonywane. Stare dane uwierzytelniające pozostają w pamięci i są nieautoryzowanie używane w kolejnych transferach, do których nie powinny mieć dostępu.

▸ Pokaż oryginał (EN)

libcurl had a flaw that when instructed to clear proxy authentication credentials which made it not do so, leaving the old credentials around to get used for subsequent transfers that should not know nor use them.

🤖 Analiza AI

Jak działa

Gdy aplikacja korzystająca z libcurl wydaje polecenie usunięcia poświadczeń proxy (np. między kolejnymi żądaniami lub sesjami), biblioteka błędnie pomija tę operację. Stare poświadczenia uwierzytelniające (np. login i hasło do proxy) pozostają aktywne w kontekście biblioteki. Kolejne transfery realizowane przez tę samą instancję libcurl mogą nieświadomie wysyłać te poświadczenia do serwerów proxy, nawet jeśli nie powinny ich znać ani używać.

Skutki

Atakujący lub nieautoryzowany serwer proxy może pozyskać poświadczenia uwierzytelniające przeznaczone dla innej sesji lub innego kontekstu połączenia, co prowadzi do ich ujawnienia (naruszenie poufności) oraz potencjalnego nieautoryzowanego dostępu do chronionych zasobów (naruszenie integralności i dostępności).