CentOS Linux 8 [TuxCare] セキュリティ更新プログラム:curl/curl-minimal/libcurl/libcurl-devel/libcurl-minimalの複数の脆弱性(CENTOS-STREAM8:CLSA-2026:1784123512)

critical Nessus プラグイン ID 362207

Language:

概要

CentOS Linuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

CentOS Linux 8ホストには、TuxCare CENTOS-STREAM8:CLSA-2026:1784123512アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- libcurl を使用して特定の HTTP オリジン(「hostA」)への転送を**ダイジェスト**認証で正常に行い、その後、同じハンドルを再利用して 2 回目の転送で別のオリジン(「hostB」)に変更すると、libcurl は「hostA」を対象としている「Authorization:」ヘッダーフィールドを誤って「hostB」に渡します。(CVE-2026-11856)

- 環境変数のプロキシ構成により駆動されるシーケンシャル転送に libcurl ハンドルを再利用する際、libcurl はリクエスト間のプロキシ認証状態をクリアできません。特に、最初の転送がダイジェスト認証を使用して「proxyA」に対して認証される場合、「proxyB」経由でルーティングされたその後の転送では、「proxyA」のみを対象とした「Proxy-Authorization:」ヘッダーが誤って漏洩します。(CVE-2026-8927)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。