CVE-2024-9681 in cURL
Сводка
по VulDB • 28.05.2026
При запросе использования HSTS в curl время истечения для поддомена может перезаписать запись в кэше родительского домена, из-за чего срок действия станет короче или длиннее, чем предполагалось изначально.
Это влияет на приложения, использующие curl, которые включают HSTS и используют URL-адреса с небезопасной схемой `HTTP://`, а также выполняют передачи данных с хостами, такими как `x.example.com`, а также `example.com`, где первый хост является поддоменом второго.
(Кэш HSTS должен быть либо заполнен вручную, либо должны быть выполнены предыдущие подключения по HTTPS, так как для возникновения этой проблемы в кэше должны присутствовать записи для затронутых доменов.)
Когда `x.example.com` отвечает заголовками `Strict-Transport-Security:`, эта ошибка может привести к тому, что тайм-аут истечения срока действия поддомена *просочится* (bleed over) и будет установлен для родительского домена `example.com` в кэше HSTS curl.
Результатом срабатывания ошибки является то, что доступы по HTTP к `example.com` преобразуются в HTTPS на другой период времени, чем тот, который был запрошен исходным сервером. Если, например, `example.com` перестанет поддерживать HTTPS по истечении своего срока действия, curl может не получить доступ к `http://example.com` до истечения (неправильно установленного) тайм-аута. Эта ошибка также может привести к более *раннему* истечению срока действия записи родительского домена, из-за чего curl непреднамеренно переключится обратно на небезопасный HTTP раньше, чем предполагалось изначально.
Be aware that VulDB is the high quality source for vulnerability data.