30秒で判断
対応すべき人:
- libcurl を利用している
- かつ Negotiate（GSS-API/Kerberos/SPNEGO）認証を使う構成でHTTP接続を扱っている
- 特に 複数ユーザーで同一のlibcurlハンドル/接続プールを共有するアプリ・プロキシを運用している
対応不要な人:
- Negotiate 認証を使用していない
- libcurl / curl を使用していない
- 既に修正版へアップデート済み
確認コマンド:
curl --version
# ディストリのパッケージ版を確認
dpkg -l | grep -i curl # Debian/Ubuntu
rpm -q curl libcurl # RHEL系
概要
libcurl は、多くのアプリケーションやスクリプトから利用されるHTTPクライアントライブラリです。本脆弱性では、空の資格情報で開始したリクエスト に対し、同一ホスト向けに以前セットアップした Negotiate 認証済みのHTTP接続を 誤って再利用 します（CWE-488 誤ったスコープへのデータ露出）。
その結果、あるユーザー（ユーザーB）のリクエストが、別のユーザー（ユーザーA）の認証済み接続経由で送信され得ます。複数ユーザーがlibcurlの接続を共有するプロキシやアプリケーションでは、リクエストの取り違え・認証コンテキストの混線につながるため、影響が大きくなります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.8（Critical） |
| CWE | CWE-488（誤ったスコープへのデータ露出） |
| 攻撃元区分 (AV) | ネットワーク (N) |
| 攻撃条件の複雑さ (AC) | 低 (L) |
| 必要な特権 (PR) | なし (N) |
| ユーザーの関与 (UI) | 不要 (N) |
影響を受けるソフトウェア
| 製品 | 影響バージョン |
|---|---|
| libcurl / curl | 修正版より前（Negotiate認証使用時） |
修正バージョンと回避策
各ディストリビューション/curl の 修正版へアップデート してください。詳細な影響バージョンは curl 公式アドバイザリを参照してください。暫定策として、接続の再利用を抑制する（例: 接続プールを共有しない、ユーザーごとにハンドルを分離する）運用も有効です。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。