Intel

CVE-2026-9545

Red Hat Security Advisory: Red Hat JBoss Core Services Apache HTTP Server 2.4.62 SP5 security update

highEPSS 0.3 %

Beschreibung

In diesem Szenario verwendet libcurl zunächst einen korrekten HTTP/3-Server für die ersten Übertragungen, und wenn es eine zweite Übertragung an denselben Standort durchführt, wurde es vom Angreifer mit einem falschen Gerät ersetzt - ohne ein gültiges Zertifikat. Wenn libcurl den Hostnamen das zweite Mal mit einer zwischengespeicherten SSL-Sitzung besucht (`CURLOPT_SSL_SESSIONID_CACHE` ist nicht deaktiviert) und frühzeitige Daten aktiviert sind (der `CURLSSLOPT_EARLYDATA`-Bit in `CURLOPT_SSL_OPTIONS` gesetzt), könnte libcurl die Bytes der zweiten Anfrage auf dieser neuen Verbindung *bevor* die Zertifikatsüberprüfungsfehler durchgesetzt werden, senden. Potenziell das Leaken sensibler Informationen.

Quelle: REDHAT_CSAFBSIBSI_CSAFREDHAT_CSAFCVELISTV5MSRCNVDCVEORGOSVUBUNTU_USN

Metriken

Severity
high
Priority-Score
117.99
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
7.5
Quelle: nvd-v3
CVSS v3
7.5
CVSS v4
—
EPSS-Perzentil
18.9 %
Erhöht — CVE ist relevanter als mindestens 10 % der heute bewerteten CVEs.
EPSS-Score
0.3 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-08-19 13:28 UTC
CWE
—

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. New CVE Received2026-07-03 07:16 UTC· 2499f714-1537-4658-8207-48ae4bb9eae9
    • Affected: curl
    • Description: In this scenario, libcurl first uses a proper HTTP/3 server for the initial transfers, and when it makes a second transfer to the same site it has been replaced by the attacker's impostor machine - without a valid certificate. When libcurl returns to the hostname the second time with a cached SSL session (`CURLOPT_SSL_SESSIONID_CACHE` is not disabled) and early data enabled (the `CURLSSLOPT_EARLYDATA` bit is set in `CURLOPT_SSL_OPTIONS`), libcurl might send off the second request's bytes on that new connection *before* enforcing the certificate verification failure. Potentially leaking sensitive information.
    • Reference: https://curl.se/docs/CVE-2026-9545.html
    • Reference: https://curl.se/docs/CVE-2026-9545.json

Betroffene Betriebssysteme

  • linux

    ubuntu / curlbionic

  • linux

    ubuntu / curlfocal

  • linux

    ubuntu / curlnoble

  • linux

    ubuntu / curlquesting

  • linux

    ubuntu / curlresolute

  • linux

    ubuntu / curltrusty

  • linux

    ubuntu / curlxenial

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • apache

    http_server2.4.0 – 2.4.68

  • Apple

    iOS18.7.10

  • Apple

    iOS26.6.1

  • Apple

    iPadOS18.7.10

  • Apple

    iPadOS26.6.1

  • Apple

    macOSTahoe 26.6.2

  • bitnami

    apache2.4.0

  • bitnami

    apache2.4.55

  • bitnami

    apache

  • haxx

    curl7.30.0 – 8.21.0

  • haxx

    curl7.46.0 – 8.20.0

  • haxx

    curl7.46.0 – 8.21.0

  • haxx

    curl7.69.0 – 8.21.0

  • haxx

    curl8.11.0 – 8.21.0

  • Hitachi Energy

    RTU500< 13.9.1

    gefixt in 13.9.1

  • Splunk

    Splunk Enterprise< 10.0.9

    gefixt in 10.0.9

  • Splunk

    Splunk Enterprise< 10.2.6

    gefixt in 10.2.6

  • Splunk

    Splunk Enterprise< 10.4.2

    gefixt in 10.4.2

  • Splunk

    Splunk Enterprise< 9.4.14

    gefixt in 9.4.14

Quellen & Referenzen

Verknüpfte CVEs

5 weitere CVEs anzeigen
IDCVE-2026-9545