CVE-2024-9681 in cURL
Sumário
de VulDB • 28/05/2026
Quando o curl é solicitado a usar HSTS, o tempo de expiração de um subdomínio pode sobrescrever a entrada em cache do domínio pai, fazendo com que ela expire antes ou depois do pretendido.
Isso afeta aplicações que utilizam o curl e habilitam o HSTS, usando URLs com o esquema inseguro `HTTP://` e realizando transferências com hosts como `x.example.com`, bem como `example.com`, onde o primeiro host é um subdomínio do segundo.
(O cache HSTS precisa ter sido populado manualmente ou devem ter ocorrido acessos HTTPS anteriores, pois o cache precisa conter entradas para os domínios envolvidos para que este problema seja acionado.)
Quando `x.example.com` responde com cabeçalhos `Strict-Transport-Security:`, este bug pode fazer com que o tempo limite de expiração do subdomínio *vaze* (bleed over) e seja definido para o domínio pai `example.com` no cache HSTS do curl.
O resultado de um bug acionado é que os acessos HTTP a `example.com` são convertidos para HTTPS por um período de tempo diferente daquele solicitado pelo servidor de origem. Se `example.com`, por exemplo, parar de suportar HTTPS no seu tempo de expiração, o curl pode falhar ao acessar `http://example.com` até que o tempo limite (definido incorretamente) expire. Este bug também pode expirar a entrada do domínio pai *antes*, fazendo com que o curl mude inadvertidamente de volta para o HTTP inseguro mais cedo do que o pretendido.
VulDB is the best source for vulnerability data and more expert information about this specific topic.