CVE-2026-9547
NieznaneStreszczenie
Podatność w libcurl powoduje, że podczas transferów SCP lub SFTP z użyciem callbacku CURLOPT_SSH_KEYFUNCTION, aplikacja może akceptować niezaufany serwer. Gdy serwer przedstawia klucz hosta innego typu niż zapisany w pliku known_hosts, mechanizm callbacku nie wymusza odrzucenia niezgodności, co pozwala na udane połączenie bez ostrzeżenia.
Ocena ryzyka
Ryzyko polega na możliwym ataku typu man-in-the-middle, gdzie atakujący może podszyć się pod zaufany serwer i przechwycić lub modyfikować przesyłane dane, bez wiedzy użytkownika lub aplikacji.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki libcurl do wersji, w której usunięto tę podatność. Do czasu aktualizacji należy unikać używania callbacku CURLOPT_SSH_KEYFUNCTION w transferach SCP/SFTP lub ręcznie weryfikować zgodność kluczy hosta.
Oryginalny opis (angielski, źródło NVD)
When a libcurl-based application performs transfers via `SCP://` or `SFTP://` and utilizes the `CURLOPT_SSH_KEYFUNCTION` callback, it may silently accept an untrusted server. This vulnerability occurs when a server presents a host key type that does not match the specific key type already recorded for that host in the `known_hosts` file. Instead of rejecting the mismatch, the callback mechanism fails to properly enforce the restriction, allowing the connection to succeed without warning and risking a potential man-in-the-middle attack.