curl vá lỗi HTTP/2 upload gây nguy cơ thực thi mã trên máy khách
"curl fixed a use-after-free flaw in HTTP/2 upload handling, tracked as CVE-2026-92392, in curl and libcurl 8.23.0. A malicious server could corrupt client memory and, under specific conditions, achieve client-side code execution; the practical impact was considered more likely to be a crash, and the fix reorders cleanup in lib/multi.c to release handle references after flushing leftover upload data."
Ảnh hưởng đến tính toàn vẹn bộ nhớ của client và có thể dẫn tới thực thi mã trong điều kiện khai thác phù hợp; khả năng thực tế thường là lỗi treo ứng dụng.
Có thể gây gián đoạn dịch vụ cho ứng dụng dùng curl/libcurl để tải dữ liệu qua HTTP/2; cần ưu tiên nâng cấp bản vá để giảm rủi ro vận hành.
curl đã phát hành bản sửa cho một lỗi use-after-free trong xử lý HTTP/2 upload, được gán CVE-2026-92392, ảnh hưởng đến curl và libcurl 8.12.0 đến 8.22.0. Lỗi này có thể bị khai thác từ phía máy chủ độc hại khi nạn nhân tải tệp lên qua HTTP/2; trong điều kiện cụ thể, kẻ tấn công có thể làm hỏng bộ nhớ phía client và thậm chí dẫn tới thực thi mã. Tuy nhiên, nhà phát triển cho biết kịch bản thực tế thường có khả năng cao hơn là gây crash.
Bản vá được phát hành trong curl 8.23.0 và cũng được backport cho một số nhánh cũ. Theo khuyến nghị, tổ chức nên nâng cấp lên 8.23.0 hoặc áp dụng commit sửa lỗi vào bản dựng nội bộ. Nếu chưa thể cập nhật ngay, có thể tạm thời vô hiệu hóa HTTP/2 bằng --http1.1 với công cụ dòng lệnh, hoặc đặt CURLOPT_HTTP_VERSION về CURL_HTTP_VERSION_1_1 trong ứng dụng. Lưu ý rằng HTTP/2 trong libcurl là tùy chọn biên dịch; bản dựng không bật tính năng này sẽ không đi vào luồng lỗi nói trên.
Bản phát hành này sửa tổng cộng 24 CVE, trong đó 23 lỗi còn lại được xếp mức thấp.