- CWE-200
CVE-2026-92389
curl'de TFTP yön karışıklığı nedeniyle bellek verisinin istenmeden iletilmesi
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 12 gün
- Kaydı açan
- curl
ÖzetTürkçe
libcurl'ün TFTP durum makinesi, durum geçişlerini istenen aktarım yönüne göre doğrulamaz; okuma ve yazma işlemleri için açılış sunucu yanıtlarını birbirinin yerine kabul eder. Kötü niyetli bir TFTP sunucusu, bir indirme isteğine, istemcinin veri gönderme moduna geçmesine neden olacak şekilde yanıt verebilir. Bu durumda libcurl, tutamacın kalıcı CURLOPT_READDATA işaretçisinden veri tüketip iletir; bu veriler, yeniden kullanılan bir tutamaç üzerinde çalıştırılan HTTP POST isteği gibi ilgisiz önceki işlemlerden kalan verileri de içerebilir.
Kaynaktaki açıklama (İngilizce)
libcurl's TFTP state machine fails to validate state transitions against the
requested transfer direction, accepting opening server responses for both
reads and writes interchangeably. A malicious TFTP server can respond to a
download request in a way that forces the client into transmit mode, prompting
libcurl to consume and transmit data from the handle's persistent
CURLOPT_READDATA pointer - including data remaining from unrelated prior
operations, such as an HTTP POST request executed on a reused handle.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| curl | ≥ 8.22.0, ≤ 8.22.0 | – |
| ≥ 8.21.0, ≤ 8.21.0 | – | |
| ≥ 8.20.0, ≤ 8.20.0 | – | |
| ≥ 8.19.0, ≤ 8.19.0 | – | |
| ≥ 8.18.0, ≤ 8.18.0 | – | |
| ≥ 8.17.0, ≤ 8.17.0 | – | |
| ≥ 8.16.0, ≤ 8.16.0 | – | |
| ≥ 8.15.0, ≤ 8.15.0 | – | |
| ≥ 8.14.1, ≤ 8.14.1 | – | |
| ≥ 8.14.0, ≤ 8.14.0 | – | |
| ≥ 8.13.0, ≤ 8.13.0 | – | |
| ≥ 8.12.1, ≤ 8.12.1 | – |
ve 147 satır daha
Kaynaklar5 kaynak
Kayıt geçmişi
- CVSS puanı değişti: – → 8.1
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.