24 Security Vulnerabilities Patched in curl Used Across 30 Billion Installations
2026/10/14 CyberSecurityNews — 2026年10月14日に curl プロジェクトが公表したのは、広く利用されているデータ転送ツール curl と、その基盤ライブラリである libcurl に影響を及ぼす、24 件のセキュリティ問題を修正する curl 8.23.0 のリリースである。今回修正された脆弱性には、認証情報の漏えい／認証処理の不具合／コマンド・インジェクションなどに加えて、アプリケーションの動作を妨げる問題などが含まれる。また、curl 8.23.0 では、SMB／SMBS プロトコルのサポートが削除されているため、導入前に既存システムとの互換性を確認することが重要となっている。
セキュリティ企業 AISLE は、今回のリリースで公表された脆弱性 24 件のうち 18 件を発見しており、全体の 75% を占めている。同社のセキュリティ監査では、2 つのリリースにまたがる合計 24 件の CVE が特定され、このうち 6 件は curl 8.22.0 で、残る 18 件は curl 8.23.0 で修正された。ただし、この 24 件は AISLE の監査で発見された脆弱性の総数であり、各リリースに含まれるセキュリティ修正の総数を示すものではない。
CVE-2026-86414：HTTP プロキシへの認証情報漏えい
CVE-2026-86414 は、HTTP の CONNECT トンネルを確立する際、プロキシが通常想定されるプロキシ認証応答の代わりに WWW-Authenticate ヘッダーを含む HTTP 401 応答を返すことで、libcurl に誤った処理をさせる欠陥である。それにより、本来は接続先サーバーに送信されるべき認証情報が、プロキシに漏えいする可能性がある。それらの認証情報には、Basic 認証のパスワードや、Negotiate／Kerberos のチケットが含まれる。影響を受けるバージョンは curl 7.10.8～8.22.0 である。
CVE-2026-94266：URL 情報を介したパスワード漏えい
CVE-2026-94266 は、curl が .netrc ファイルから認証情報を取得する際に、libcurl の CURLINFO_EFFECTIVE_URL を通じて取得される URL や、コマンドライン・ツールの url_effective 出力変数にパスワードが含まれることで、意図せずに漏えいを引き起こす脆弱性である。つまり、返された URL を、アプリケーションがログに記録している場合に、認証情報がログファイルに保存される恐れがある。影響を受けるバージョンは curl 7.62.0～8.22.0 である。
curl における認証情報の取り扱いは、以前から問題となっている。過去において CyberSecurity News は、リダイレクトや .netrc ファイルに関連する curl のパスワード漏えい脆弱性を報じている。この過去の問題でも、特定の条件下で、本来の送信先ではないホストに認証情報が渡される可能性があった。
CVE-2026-87864：IMAP コマンド・インジェクションの脆弱性
CVE-2026-87864 の公式セキュリティ・アドバイザリによると、この脆弱性は IMAP でのメッセージのアップロード時に、CURLOPT_CRLF 処理の悪用を許すものである。curl が元のメッセージ・サイズをサーバに通知した後、改行コードの変換により追加のバイト列が送信されると、メール・サーバが解釈を誤り、認証済みセッション内での IMAP コマンドとして、そのデータが実行される可能性がある。ただし、注入されるのは IMAP コマンドであり、OS のシェルコマンドではない。
この脆弱性のセキュリティ・アドバイザリは 10月14日に公開されたが、すでに脆弱性自体は curl 8.22.0 で修正されている。影響を受けるバージョンは curl 7.30.0～8.21.0 であり、深刻度は Low と評価されている。公式に案内されている回避策は、IMAP で CURLOPT_CRLF を使用しないことである。
なお、curl 8.21.0 では、約 25 年前から存在していた別の脆弱性も修正されている。
AWS 署名／SSH 認証／Cookie／HSTS にも複数の問題
AISLE が発見した他の脆弱性には、以下のような問題が含まれる。
- 古い AWS 署名ヘッダーが意図しない宛先へ送信される問題。
- リダイレクト先に認証情報が渡される問題。
- クライアント証明書と接続の再利用に関する不整合。
- Cookie の保存データに対する消去や、読み込み中断の問題。
- HSTS キャッシュが不適切に処理される問題。
- 無限ループやプロセス・スタックの枯渇によりアプリケーションが停止する問題。
これらの不具合には、通信先や認証に使用する ID の変更後も、以前の設定や接続状態が維持される問題などが含まれる。
AISLE が報告した 18件の脆弱性一覧
| CVE 番号 | 脆弱性の概要 | 影響を受ける機能 | セキュリティへの影響 |
|---|---|---|---|
| CVE-2026-86409 | 古い AWS SigV4 ヘッダーが意図しない宛先に送信される | AWS リクエスト署名 | 通信先が変更された後も認証ヘッダーがリクエストに残り、別の宛先へ送信される可能性がある |
| CVE-2026-86410 | リダイレクトによって SSH ホスト検証がバイパスされる | SFTP／SCP のリダイレクト | リダイレクト先サーバーの正当性を確認するためのホスト検証が省略される可能性がある |
| CVE-2026-86411 | 再利用された FTP 接続が以前のクライアント証明書を引き継ぐ | FTP 接続の再利用 | 以前の設定で使用されたクライアント証明書によって認証済みの接続が再利用される可能性がある |
| CVE-2026-86412 | サーバーが設定した Cookie によって Cookie ジャーが消去される | Cookie の保存 | サーバーから提供された Cookie によって保存済みの Cookie が削除される可能性がある |
| CVE-2026-86413 | Negotiate 認証情報がリダイレクト先のオリジンに送信される | リダイレクト／Negotiate 認証 | 本来認証情報を受け取るべきではない宛先に認証情報が渡される可能性がある |
| CVE-2026-86414 | HTTP プロキシへの認証情報漏えい | HTTP プロキシの CONNECT 処理 | 接続先サーバー向けの Basic 認証パスワードや Negotiate／Kerberos チケットがプロキシに渡される可能性がある |
| CVE-2026-86415 | クライアント証明書を使用する接続の自動再利用における不整合 | クライアント証明書／接続の再利用 | 誤ったクライアント証明書の ID に関連付けられた状態で接続が再利用される可能性がある |
| CVE-2026-87862 | HSTS キャッシュのインポート時に有効期間の長い子ドメインのエントリが失われる | HSTS キャッシュの読み込み | キャッシュのインポートによって、既存の子ドメインの HSTS エントリが失われる可能性がある |
| CVE-2026-87863 | HSTS 応答によって保存済みのエントリが消去される | HSTS キャッシュの永続化 | サーバーからの HSTS 応答を処理すると、保存済みの HTTPS 強制適用エントリが削除される可能性がある |
| CVE-2026-87864 | CRLF 変換時の IMAP APPEND コマンドインジェクション | IMAP アップロード／CURLOPT_CRLF | 通知されたメッセージサイズと実際の送信バイト数の不一致により、余分なデータが認証済みセッション内の IMAP コマンドとして解釈される可能性がある。OS シェルコマンドのインジェクションではない |
| CVE-2026-92386 | サーバーが設定した Cookie によって Cookie ジャーの読み込みが中断される | Cookie ファイルの読み込み | サーバーから提供された Cookie により、保存済み Cookie の読み込み処理が中断される可能性がある |
| CVE-2026-92387 | サーバー応答データの欠落によって無限ループが発生する | サーバー応答の処理 | 処理が無限ループに陥り、アプリケーションの動作が妨げられる可能性がある |
| CVE-2026-92388 | FTP ワイルドカード転送時の書き込みコールバックの混同 | FTP ワイルドカード転送 | 転送データが、本来とは異なるアプリケーションの書き込みコールバックに渡される可能性がある |
| CVE-2026-92389 | TFTP の転送方向の取り違え | TFTP 転送 | curl が意図した転送方向を誤認し、プロトコル処理が不正になる可能性がある |
| CVE-2026-92390 | HTTP 103 Early Hints による -J の上書き防止機能のバイパス | HTTP 応答ヘッダー／出力ファイル処理 | HTTP 103 Early Hints 応答によって、既存ファイルの上書きを防ぐ保護機能が回避される可能性がある |
| CVE-2026-92391 | 再帰的な curl_mime_free 呼び出しによるスタック枯渇 | MIME データのクリーンアップ | 再帰的な解放処理によってプロセススタックが枯渇し、アプリケーションがクラッシュする可能性がある |
| CVE-2026-94265 | Authorization: Negotiate ヘッダーが別のオリジンへ送信される | HTTP Negotiate 認証 | 本来認証ヘッダーを受け取るべきではないオリジンへ認証情報が送信される可能性がある |
| CVE-2026-94266 | CURLINFO_EFFECTIVE_URL を介したパスワード漏えい | 実効 URL の取得／.netrc 認証情報 | 返された URL にパスワードが含まれ、アプリケーションログやコマンドライン出力に記録される可能性がある |
curl 8.23.0 への更新と互換性の確認が必要
管理者にとって必要なことは、影響を受ける curl および libcurl のバージョン 8.23.0 へのアップグレードもしくは、該当する修正パッチの適用である。スタンドアロンの curl コマンドを更新しても、アプリケーションに同梱された libcurl まで更新されるとは限らないため、libcurl を組み込んでいるアプリケーションには、特に注意が必要である。
そのため、利用しているアプリケーションや製品に組み込まれた、libcurl のバージョンも確認する必要がある。
また、アップデートの計画時には、以下の設定を見直すことが推奨される。
- HTTP プロキシの認証設定。
- 認証情報を含む可能性がある URL のログ記録。
- IMAP によるメッセージのアップロード設定。
- SMB／SMBS プロトコルへの依存関係。
特に curl 8.23.0 では、SMB／SMBS のサポートが削除されているため、これらのプロトコルを使用している環境では、アップグレードによる互換性への影響を事前に確認することが重要である。アップグレード前に、curl 8.23.0 のリリース発表を確認し、セキュリティ修正と互換性に関する変更点を把握する必要がある。
curl プロジェクトによるデータ転送ツールのセキュリティ更新において、多数の脆弱性が修正されました。背景として、ソフトウェア内部における複雑なデータ処理やプロトコル制御の不備があります。影響として、認証情報の漏えいや意図しないコマンド実行、アプリケーションの停止が生じる恐れがあります。対応策として、最新バージョンへのアップデートや影響を受けるプロトコル利用の確認が求められます。 CVE-2026-86414 ／ CVE-2026-94266 ／ CVE-2026-87864、さらにその他の複数の問題に対処するため、利用環境の点検と適切な適用が必要となります。
You must be logged in to post a comment.