注目★★★★★Lobsters
curl 8.17.0のCVE申請、MITREが脆弱性に非該当と裁定
30秒で把握
- 1curl 8.17.0までのhostname検証バグをCVE対象外と判断
- 2先頭ドット付きhostnameなど複数条件で証明書照合を誤成功
- 3MITREがcurl側の判断を支持しCVE非付与を最終決定
要約
curlプロジェクトは、curl 8.17.0までの特定のhostname検証バグをCVE対象外と判断し、MITREもその裁定を最終決定した。問題は、URLのhostnameが先頭ドット付きで、名前解決やワイルドカード証明書、攻撃者による偽装ホスト運用など、極めて限定的な条件を同時に満たす場合に証明書照合を誤って成功させるものだった。curlは2025年12月8日に修正と単体テスト追加を完了していた。curl側は、悪用にはローカル攻撃者と権限が必要で、実用上のリスクはLOW未満としてCVEを発行しなかった。MITREは2026年6月24日、この判断を支持した。
あなたへの影響
curlやlibcurlを利用する日本の開発・運用チームは、CVEの有無だけでなく修正済みバージョンへの更新と自社の利用条件を確認してください。
推奨：CNAは脆弱性番号を自ら採番できる組織で、今回はMITREがCVE非付与の判断を支持しました。