CVE-2024-9681 in cURL
Zusammenfassung
von VulDB • 28.05.2026
Wenn curl angewiesen wird, HSTS zu verwenden, kann die Ablaufzeit für eine Subdomain den Cache-Eintrag einer übergeordneten Domain überschreiben, wodurch diese früher oder später abläuft als ursprünglich beabsichtigt.
Dies betrifft curl-basierte Anwendungen, die HSTS aktivieren und URLs mit dem unsicheren `HTTP://`-Schema verwenden sowie Übertragungen mit Hosts wie `x.example.com` sowie `example.com` durchführen, wobei der erste Host eine Subdomain des zweiten Hosts ist.
(Der HSTS-Cache muss entweder manuell befüllt worden sein oder es müssen zuvor HTTPS-Zugriffe erfolgt sein, da der Cache Einträge für die betroffenen Domains enthalten muss, um dieses Problem auszulösen.)
Wenn `x.example.com` mit `Strict-Transport-Security:`-Headern antwortet, kann dieser Bug dazu führen, dass die Ablaufzeit der Subdomain *überläuft* und für die übergeordnete Domain `example.com` im HSTS-Cache von curl festgelegt wird.
Die Folge eines ausgelösten Bugs ist, dass HTTP-Zugriffe auf `example.com` für einen anderen Zeitraum in HTTPS umgewandelt werden als vom Ursprungsserver angefordert. Wenn `example.com` beispielsweise seine Unterstützung für HTTPS zum Ablaufzeitpunkt einstellt, kann curl möglicherweise nicht auf `http://example.com` zugreifen, bis die (falsch gesetzte) Ablaufzeit abgelaufen ist. Dieser Bug kann den Eintrag der übergeordneten Domain auch *früher* ablaufen lassen, wodurch curl ungewollt früher als beabsichtigt wieder auf unsicheres HTTP umschaltet.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.