p PatchFirst

CVE-2025-5025

CVE-2025-5025 · No QUIC certificate pinning with wolfSSL

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

libcurl supports *pinning* of the server certificate public key for HTTPS transfers. Due to an omission, this check is not performed when connecting with QUIC for HTTP/3, when the TLS backend is wolfSSL. Documentation says the option works with wolfSSL, failing to specify that it does not for QUIC and HTTP/3. Since pinning makes the transfer succeed if the pin is fine, users could unwittingly connect to an impostor server without noticing.

CVSS 4.8 · Mittel · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system

Betroffene Produkte und Versionen

  • curl

    Softwareversionen
    • ≥ 8.13.0, ≤ 8.13.0: Betroffen (semver)
    • ≥ 8.12.1, ≤ 8.12.1: Betroffen (semver)
    • ≥ 8.12.0, ≤ 8.12.0: Betroffen (semver)
    • ≥ 8.11.1, ≤ 8.11.1: Betroffen (semver)
    • ≥ 8.11.0, ≤ 8.11.0: Betroffen (semver)
    • ≥ 8.10.1, ≤ 8.10.1: Betroffen (semver)
    • ≥ 8.10.0, ≤ 8.10.0: Betroffen (semver)
    • ≥ 8.9.1, ≤ 8.9.1: Betroffen (semver)
    • ≥ 8.9.0, ≤ 8.9.0: Betroffen (semver)
    • ≥ 8.8.0, ≤ 8.8.0: Betroffen (semver)
    • ≥ 8.7.1, ≤ 8.7.1: Betroffen (semver)
    • ≥ 8.7.0, ≤ 8.7.0: Betroffen (semver)
    • ≥ 8.6.0, ≤ 8.6.0: Betroffen (semver)
    • ≥ 8.5.0, ≤ 8.5.0: Betroffen (semver)

    Keine Korrektur veröffentlicht

  • curl Debian:13

    Betroffene Versionsbereiche
    • ECOSYSTEM: < 8.14.0-1

    Auf 8.14.0-1 aktualisieren

  • curl Debian:14

    Betroffene Versionsbereiche
    • ECOSYSTEM: < 8.14.0-1

    Auf 8.14.0-1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →