- CWE-416
CVE-2026-92388
curl FTP joker LIST işleminde yazma geri çağrısı karışıklığı (use-after-free)
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 12 gün
- Kaydı açan
- curl
Yönetici özeti
Bu açık, yaygın kullanılan bir veri aktarım yazılımında, uzak sunucuyla dosya listeleme sırasında ortaya çıkan ciddi bir güvenlik sorunudur. Saldırganların sistemleri çökertmesine veya kontrolü ele geçirmesine olanak tanıyabileceği için öncelikli olarak ele alınmalıdır. Etkilenen yazılımın sürümlerini hemen belirleyip güncelleme veya geçici önlem planlamanız önerilir.
ÖzetTürkçe
curl'ün FTP joker (wildcard) LIST işlemi başarısız olduğunda, başarılı listeleme için kullanılan yol geri yüklenmez ve yazma geri çağrısı dahili liste ayrıştırıcısında kalır. Bu handle yeniden kullanıldığında çökme oluşur, kopyalandığında ise bozuk durum kopyaya da geçer. Etkilenen sürümler arasında 7.83.1'den 8.22.0'a kadar olan belirli sürümler bulunmaktadır.
Saldırgan ne yapabilir?
Saldırgan, kötü niyetli bir FTP sunucusu aracılığıyla bellekte use-after-free okuması, tür karışıklığı kaynaklı bellek yazımı ve uygulamanın çökmesine yol açabilir. Sonuçta uzaktan kod çalıştırma riski ve hizmet kesintisi ortaya çıkabilir.
Kaynaktaki açıklama (İngilizce)
When an FTP wildcard LIST operation fails, libcurl omits the restoration
path meant for successful listings, leaving the write callback set to the
internal listing parser and the write callback data pointing directly to the
easy handle. Subsequent reuse of this handle triggers an immediate crash, and
cloning it via curl_easy_duphandle() copies this corrupted state into the
duplicate. If the original handle is subsequently freed, executing a transfer
on the cloned handle causes a heap use-after-free read against the dangling
handle reference; alternatively, reusing the original or cloned handle while
changing only CURLOPT_WRITEDATA (and omitting CURLOPT_WRITEFUNCTION)
results in type confusion, forcing the internal parser to interpret incoming
server response bytes into memory at the application-supplied write data
pointer.
Ne yapmalı?
- Veri sağlayıcısında bu sorun için belirtilmiş bir düzeltilmiş sürüm bilgisi yoktur; kaynak verilerde kesin bir çözüm sürümü belirtilmemiştir. Bu nedenle sisteminizde kullanılan curl sürümünü, etkilenen sürüm listesiyle karşılaştırarak belirleyin. Genel öneri
- Etkilenen bir sürüm kullanılıyorsa, yayımlanmış en güncel ve güvenilir curl sürümüne geçin ve uygulamaların bağlı olduğu kütüphaneyi de güncelleyin; resmi düzeltme yayımlandığında bu sürüme geçmeyi önceliklendirin. Genel öneri
- Düzeltme uygulanana kadar, güvenilmeyen veya bilinmeyen FTP sunucularına bağlanan ve joker karakterli dizin listeleme yapan otomasyonları durdurun ya da kısıtlayın. Genel öneri
- Curl kullanan uygulamalarda, aynı easy handle'ın hata sonrası yeniden kullanılmasını ve kopyalanmasını engelleyecek şekilde kod akışını gözden geçirin; yazma ayarlarının tutarlı biçimde yapıldığından emin olun. Genel öneri
Ek önlemler
- Sunucu ve uygulama günlüklerinde başarısız FTP listeleme işlemlerini ve beklenmedik çökmeleri izleyin. Genel öneri
- Ağ çıkışında FTP trafiğini yalnızca güvenilen hedeflerle sınırlandırın. Genel öneri
- Yazılım envanterinizde curl ve libcurl kullanan bileşenleri düzenli olarak tarayın ve güncelleme durumunu takip edin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| curl | ≥ 8.22.0, ≤ 8.22.0 | – |
| ≥ 8.21.0, ≤ 8.21.0 | – | |
| ≥ 8.20.0, ≤ 8.20.0 | – | |
| ≥ 8.19.0, ≤ 8.19.0 | – | |
| ≥ 8.18.0, ≤ 8.18.0 | – | |
| ≥ 8.17.0, ≤ 8.17.0 | – | |
| ≥ 8.16.0, ≤ 8.16.0 | – | |
| ≥ 8.15.0, ≤ 8.15.0 | – | |
| ≥ 8.14.1, ≤ 8.14.1 | – | |
| ≥ 8.14.0, ≤ 8.14.0 | – | |
| ≥ 8.13.0, ≤ 8.13.0 | – | |
| ≥ 8.12.1, ≤ 8.12.1 | – |
ve 121 satır daha
Kaynaklar5 kaynak
Kayıt geçmişi
- CVSS puanı değişti: – → 9.1
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.