CVE-2024-9681 in cURL
Riassunto
di VulDB • 14/06/2026
Quando a curl viene richiesto di utilizzare HSTS, il tempo di scadenza per un sottodominio potrebbe sovrascrivere la voce della cache del dominio padre, facendola scadere prima o dopo rispetto all'intenzione originale.
Questo problema interessa le applicazioni che utilizzano curl e abilitano HSTS, impiegando URL con lo schema non sicuro `HTTP://` ed effettuando trasferimenti verso host come `x.example.com`, nonché verso `example.com`, dove il primo host è un sottodominio del secondo.
(La cache HSTS deve essere stata popolata manualmente o devono esserci stati precedenti accessi HTTPS, poiché la cache richiede voci per i domini coinvolti per innescare questo problema.)
Quando `x.example.com` risponde con intestazioni `Strict-Transport-Security:`, questo bug può causare il *bleeding over* (sovrapposizione) del timeout di scadenza del sottodominio, impostandolo erroneamente per il dominio padre `example.com` nella cache HSTS di curl.
Il risultato dell'attivazione del bug è che gli accessi HTTP a `example.com` vengono convertiti in HTTPS per un periodo di tempo diverso da quello richiesto dal server di origine. Se ad esempio `example.com` smette di supportare HTTPS al momento della sua scadenza, curl potrebbe non riuscire ad accedere a `http://example.com` fino alla scadenza del timeout (impostato erroneamente). Questo bug può anche far scadere la voce del dominio padre *prima*, costringendo così curl a tornare involontariamente all'HTTP non sicuro prima di quanto previsto.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.