Die neueste Version von curl behebt eine schwere und dreiundzwanzig leichte Sicherheitslücken und verabschiedet sich von der Unterstützung für das SMB-Protokoll. Die Open-Source-Bibliothek zum Aufruf von URLs ist praktisch auf jedem vernetzten Gerät weltweit installiert – das Update betrifft also Milliarden Installationen.

„Eine der schwersten Sicherheitslücken seit langer Zeit“ nennt curl-Gründer Daniel Stenberg den Use-after-Free-Fehler mit der CVE-ID CVE-2026-92392 (Schweregrad: hoch); ein bösartiger HTTP/2-Server kann sie zur Codeausführung nutzen. Allerdings ist dafür ein Nutzer-Upload notwendig, ein Angriff funktioniert also nicht automatisch. Die notwendigen Nebenbedingungen und alle Details zur Lücke hat Stenberg zu einem ausführlichen Artikel verarbeitet. In diesem nennt er Anthropic als Finder und verdeutlicht erneut: „Wir werden curl nicht neu schreiben“, etwa in einer speichersicheren Sprache wie Rust.

Außerdem behebt cURL 8.23.0 die folgenden Sicherheitslücken mit niedrigem Schweregrad: CVE-2026-107928, CVE-2026-107929, CVE-2026-86409, CVE-2026-86410, CVE-2026-86411, CVE-2026-86412, CVE-2026-86413, CVE-2026-86414, CVE-2026-86415, CVE-2026-87861, CVE-2026-87862, CVE-2026-87863, CVE-2026-87864, CVE-2026-87865, CVE-2026-87866, CVE-2026-92386, CVE-2026-92387, CVE-2026-92388, CVE-2026-92389, CVE-2026-92390, CVE-2026-92391, CVE-2026-94265 und CVE-2026-94266. Jeder Lücke spendiert das Projekt ein eigenes Advisory, das auf der Übersichtsseite verlinkt ist. Eine CVSS-Punktwertung vergibt curl traditionell nicht; es arbeitet lediglich mit Schweregraden von „niedrig“ bis „kritisch“.

Es ist zu erwarten, dass die aktualisierte Version von cURL in Kürze über die regulären Update-Prozesse in jeder Soft- und Hardware auftaucht, die das Produkt verwendet; wer den Prozess beschleunigen will, kann Aktualisierungen manuell auslösen. Nur in seltenen Fällen dürften Nutzer die curl-Bibliothek und -Kommandozeilenprogramme von Hand austauschen müssen.

Verabschieden müssen Nutzer der freien Bibliothek sich von der Unterstützung für das SMB-Protokoll, sowohl in dessen Klartext-, als auch der TLS-Ausprägung SMBS. Der Grund findet sich ebenfalls in Stenbergs Blog: Schon immer war die für SMB-Unterstützung notwendige NTLM-Implementation in curl fehleranfällig; zudem unterstützte es ohnehin lediglich SMBv1.

Curl ist eine der meistgenutzten Bibliotheken auf dem Planeten; von Smartphones über vernetzte Autos bis hin zu macOS-Clickfix-Malware sind die URL-Bibliothek und das dazugehörige Kommandozeilenwerkzeug auf Milliarden Geräten vertreten. Daniel Stenberg ist zudem ein profilierter Vordenker der Szene; er sprach und schrieb in der Vergangenheit häufig über Sinn und Unsinn von KI. Im Juli pausierte sein Projekt gar die Annahme von Fehler-Reports und nannte das „Sommer der Glückseligkeit“.

(cku)