Das beliebte Open-Source-Tool curl hat ein Update mit 24 Sicherheitsverbesserungen veröffentlicht. Diese relativ hohe Zahl deutet darauf hin, dass das Sicherheitsteam verstärkt auf Fehlersuche gegangen ist und dabei mehrere potenzielle Probleme gefunden hat.
Die schwerste behobene Lücke erlaubt Angreifern, beliebige Code auf Systemen auszuführen, auf denen curl läuft, insbesondere wenn HTTP/2 verwendet wird. Diese kritische Schwachstelle wurde von Anthropic entdeckt und gemeldet. Ein Angreifer könnte potenzielweise über manipulierte HTTP/2-Verbindungen Malware einschleusen oder Systemkontrolle erlangen.
Curl ist in vielen Systemen tief verwurzelt, nicht nur auf Desktop-Computern, sondern auch auf Servern, in Netzwerkgeräten und anderen Appliances. Deshalb ist diese Sicherheitsmitteilung für IT-Profis relevant. Schweizer Unternehmen sollten ihre Systeme überprüfen und curl nach Möglichkeit zeitnah aktualisieren. Besonders wichtig ist dies für Server und Infrastruktur-Komponenten, die als "Dauerläufer" nicht täglich neu gestartet werden. Ein Patch-Management, das auch solche Hidden Dependencies im Blick behält, trägt wesentlich zur Gesamtsicherheit bei.