CVE-2024-9681 in cURL
Résumé
par VulDB • 28/05/2026
Lorsque curl est configuré pour utiliser HSTS, le délai d'expiration d'un sous-domaine peut écraser l'entrée du cache du domaine parent, entraînant une expiration plus précoce ou plus tardive que prévu.
Cela affecte les applications utilisant curl qui activent HSTS et utilisent des URL avec le schéma non sécurisé `HTTP://`, et effectuent des transferts avec des hôtes tels que `x.example.com` ainsi que `example.com`, le premier hôte étant un sous-domaine du second.
(Le cache HSTS doit avoir été peuplé manuellement ou des accès HTTPS précédents doivent avoir été effectués, car le cache doit contenir des entrées pour les domaines concernés pour déclencher ce problème.)
Lorsque `x.example.com` répond avec des en-têtes `Strict-Transport-Security:`, ce bug peut provoquer une *débordement* (bleed-over) du délai d'expiration du sous-domaine, qui se voit alors attribué au domaine parent `example.com` dans le cache HSTS de curl.
La conséquence d'un déclenchement de ce bug est que les accès HTTP à `example.com` sont convertis en HTTPS pour une durée différente de celle demandée par le serveur d'origine. Si `example.com` cesse par exemple de prendre en charge HTTPS à son heure d'expiration, curl pourrait alors échouer à accéder à `http://example.com` jusqu'à l'expiration du délai (incorrectement défini). Ce bug peut également expirer l'entrée du parent *plus tôt*, faisant ainsi que curl bascule involontairement vers un HTTP non sécurisé plus tôt que prévu.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.