CVE-2024-9681 in cURL
要約
〜によって VulDB • 2026年05月28日
curlがHSTSの使用を要求された場合、サブドメインの有効期限が親ドメインのキャッシュエントリを上書きし、意図されたよりも早く、または遅く期限切れになる可能性があります。
この問題は、HSTSを有効にし、安全でない`HTTP://`スキームを持つURLを使用し、`x.example.com`および`example.com`（前者が後者のサブドメイン）のようなホスト間で転送を実行するcurlを使用するアプリケーションに影響します。
（この問題をトリガーするには、HSTSキャッシュが手動で設定されているか、関連するドメインのエントリが存在する必要があるため、以前にHTTPSアクセスが行われている必要があります。）
`x.example.com`が`Strict-Transport-Security:`ヘッダーで応答する場合、このバグによりサブドメインの有効期限タイムアウトが*親ドメイン*`example.com`に*漏れ出し*、curlのHSTSキャッシュで設定されてしまうことがあります。
このバグがトリガーされると、`example.com`へのHTTPアクセスが、オリジンサーバーが要求した期間とは異なる期間、HTTPSに変換されます。例えば、`example.com`が有効期限時点でHTTPSのサポートを終了した場合、curlは（誤って設定された）タイムアウトが期限切れになるまで`http://example.com`にアクセスできなくなる可能性があります。このバグにより親ドメインのエントリが*より早く*期限切れになることもあり、その結果、curlは意図せず、本来の意図よりも早く安全でないHTTPに切り替わってしまうことがあります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.