The Pulse
AISLE scopre 18 vulnerabilità di curl nell’ultimo audit
AISLE afferma che il suo audit di sicurezza di curl ha individuato 24 vulnerabilità in due versioni, di cui 18 corrette in curl 8.23.0 il 14 ottobre 2026. Le falle comprendono fughe di credenziali, errori nei reindirizzamenti e nel riutiliz
AI.info Team · Scritto con l’IA ·
Secondo AISLE, Mythos di Anthropic, Codex Security di OpenAI e ZeroPath non avevano trovato altre vulnerabilità di curl in una precedente analisi. L’audit successivo dell’azienda di sicurezza dell’IA ha individuato 24 CVE in due versioni di curl, tra cui 18 corrette in curl 8.23.0, rilasciata il 14 ottobre 2026. Le cifre si riferiscono ad analisi distinte, non a un benchmark condiviso: il resoconto di AISLE non fornisce un protocollo di prova comune per confrontare i sistemi.
Ventiquattro CVE in due versioni
AISLE afferma che sei delle vulnerabilità individuate sono state corrette in curl 8.22.0, rilasciata il 2 settembre, e che altre 18 correzioni sono incluse nella versione 8.23.0. L’azienda descrive il lavoro come un audit dedicato, richiesto dal fondatore di curl Daniel Stenberg dopo un anno di collaborazione. Afferma che i suoi 12 mesi di lavoro su curl hanno portato a 35 CVE e a 160 ulteriori correzioni di bug; questi totali sono calcolati da AISLE.
Le vulnerabilità riguardano più tipi di bug. Diverse interessano credenziali o connessioni autenticate che attraversano confini di fiducia: una falla poteva inviare credenziali Negotiate a una destinazione di reindirizzamento, mentre un’altra riguardava una connessione SFTP o SCP reindirizzata che procedeva senza la verifica richiesta dell’host SSH. Secondo l’avviso di sicurezza del progetto curl, quest’ultima interessa lo strumento da riga di comando, non libcurl, e consentire reindirizzamenti verso SFTP o SCP è raro.
I casi più difficili riguardavano i cambiamenti di stato
Altre vulnerabilità riguardano lo stato persistente o quello del protocollo. AISLE elenca falle che potevano cancellare un archivio dei cookie o gestire in modo errato le voci HSTS, oltre a un problema di command injection in IMAP e a una debolezza della protezione contro la sovrascrittura -J di curl. Secondo il progetto curl, la falla di -J poteva consentire a un server di sovrascrivere un file locale esistente all’arrivo di una risposta HTTP intermedia 103 Early Hints; l’avviso la classifica come di bassa gravità.
AISLE sostiene che questi problemi fossero difficili da individuare perché emergono da sequenze di eventi, non da una singola riga di codice palesemente insicura. Un reindirizzamento può cambiare la destinazione mentre le credenziali restano associate a una connessione; una connessione mantenuta in un pool può essere riutilizzata con un’identità diversa; oppure un cookie può essere accettato e poi gestito in modo errato al momento del salvataggio. L’azienda afferma che il suo processo ricostruisce il contesto del codice, segue lo stato attraverso i componenti, verifica le potenziali vulnerabilità e prevede che un ricercatore esperto di sicurezza esamini le segnalazioni prima dell’invio.
I responsabili della manutenzione di curl hanno esaminato le segnalazioni
Secondo il resoconto di AISLE, il team di sicurezza di curl decide in modo indipendente se il comportamento segnalato violi la politica di sicurezza del progetto, quanto sia grave e se giustifichi l’assegnazione di un CVE. Nel suo resoconto della collaborazione, Stenberg elogia il livello di dettaglio delle vulnerabilità individuate e il lavoro delle persone che le hanno verificate.
«La grande quantità di vulnerabilità individuate, descritte in modo dettagliato e accurato e supportate da un team di persone competenti, ci ha permesso di individuare e correggere vulnerabilità in curl a un ritmo più elevato che mai, rendendo più sicuri i miliardi di utenti che usano curl ogni giorno, per lo più indirettamente.»
Daniel Stenberg, fondatore e principale sviluppatore del progetto curl, sul suo blog
Aggiornare a curl 8.23.0
AISLE raccomanda di aggiornare a curl 8.23.0 o di applicare le correzioni pertinenti ai rami ancora supportati. La cronologia delle versioni del progetto curl indica che la 8.23.0 è stata rilasciata il 14 ottobre. Alcuni avvisi distinguono tra il programma curl da riga di comando e libcurl, la libreria integrata in altri software: gli amministratori dovrebbero quindi verificare quale componente e quale versione usano i loro sistemi.