curl 8.23.0: облікові дані netrc у CURLINFO_EFFECTIVE_URL

14 жовтня 2026 року вийшов curl 8.23.0, у якому усунуто вразливість CVE-2026-94266. Ця проблема дозволяла libcurl випадково повертати URL-адресу з обліковими даними через CURLINFO_EFFECTIVE_URL, якщо вони були отримані з файлу .netrc.

Вразливість виникала через помилкову поведінку libcurl, яка повертала URL через опцію CURLINFO_EFFECTIVE_URL, включаючи конфіденційні облікові дані, отримані з файлу .netrc. Це відбувалося навіть у випадках, коли початковий або перенаправлений URL не містили секретів, що створювало ризик витоку паролів через механізми логування або відлагодження, які використовують CURLINFO_EFFECTIVE_URL.

Рекомендації:

• Негайно оновіть libcurl до версії 8.23.0 або новішої.
• Перегляньте код, де використовується CURLINFO_EFFECTIVE_URL, щоб переконатися, що отримані дані не записуються в незахищені логи або не передаються в сторонні сервіси моніторингу.
• Проведіть ротацію облікових даних, якщо існує ймовірність, що вони могли бути зафіксовані в логах до моменту оновлення.

Усунення витоку облікових даних у libcurl через .netrc

Витік конфіденційних облікових даних з файлів .netrc через libcurl створює серйозну загрозу безпеці, оскільки паролі можуть потрапити в логи або системи моніторингу. Це вимагає негайного оновлення бібліотек та перегляду політик логування для розробників, що працюють з автоматизацією запитів.

Практичний крок: Оновіть libcurl до версії 8.23.0 та проведіть ротацію скомпрометованих облікових даних. Замовте в Softline аудит безпеки вашого програмного забезпечення та налаштування безпечних практик розробки (DevSecOps).