curl Native CA Trust Persistence Vulnerability (CVE-2026-11564)

脆弱性概要 CVE番号: CVE-2026-11564 脆弱性名称: ネイティブ CA 信頼性の永続化 説明: libcurl は、その後の転送での再利用のために、以前使用された接続を接続プールに保持します。デフォルトのネイティブ CA 信頼性と設定が一致する easy ハンドルが、アプリケーションがカスタム CA 資料に切り替えた後もネイティブプラットフォームのストアを信頼し続ける場合、脆弱性が存在します。 影響: この脆弱性により、カスタム証明書の設定は通常、デフォルトの信頼セットを制限または縮小する方法であるにもかかわらず、curl が本来承認するべきでないサーバーの TLS 証明書を受け入れる可能性があります。 対象システム: Apple OS や Windows などの、ネイティブ CA を使用するビルドに適用されます。 TLS バックエンド: この脆弱性は、libcurl が OpenSSL、GnuTLS、Schannel、または Rustls の TLS バックエンドを使用する場合に存在します。 重大度: 低 CWE 番号: CWE-295: 不適切な証明書検証 影響範囲 影響を受けるバージョン: curl 8.17.0 から 8.20.0（両端を含む） 影響を受けないバージョン: curl = 8.21.0 導入されたバージョン: https://github.com/curl/curl/commit/eeffd03c572996e5de4dec4fe 修正方案 修正コミット: https://github.com/curl/curl/commit/d69bfad3fa3daf5e72331f6870667 推奨措置: - A - curl と libcurl をバージョン 8.21.0 にアップグレードする - B - パッチを適用して再ビルドする - C - 異なる CA オプション間で easy ハンドルの再利用を避ける タイムライン 報告日: 2026年6月5日 リリースバージョン: curl 8.21.0 が2026年6月24日にリリースされ、アナウンスと同時期でした。 貢献者 報告者: Trail of Bits の Filipe Casal、OpenAI と共同で パッチ提供者: Stefan Eissing

目標達成 すべての支援者に感謝 — 100%達成しました！

curl Native CA Trust Persistence Vulnerability (CVE-2026-11564)

目標達成すべての支援者に感謝 — 100%達成しました！