p PatchFirst

CVE-2026-11352

CVE-2026-11352 · QUIC zero-length UDP datagrams busy-loop

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

An issue in curl’s QUIC UDP receive function allows a malicious HTTP/3 server to trigger a remote denial of service against a curl or libcurl client. Because the helper function discards zero-length UDP datagrams before counting them toward the per-call packet budget, a connected QUIC peer can continuously stream empty datagrams to indefinitely stall the client.

CVSS 7.5 · Alta · EPSS 1,0% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • curl

    Versiones
    • ≥ 8.18.0, < 8.20.1: Afectada (semver)

    Actualiza a 8.20.1

  • curl

    Versiones
    • ≥ 6a3d0b6d631d5e9bec797306b5b41a9f440a088d, < 56eca2afb4806f1032872fa97d1834b3c1385276: Afectada (git)

    Sin corrección publicada

  • curl

    Versiones
    • 8.20.0: Afectada
    • 8.19.0: Afectada
    • 8.18.0: Afectada

    Sin corrección publicada

  • curl Debian:14

    Versiones
    • 8.14.1-2
    • 8.14.1-2+exp1
    • 8.15.0-1
    • 8.15.0-1~bpo13+1
    • 8.15.0-1~exp1
    • 8.15.0~rc1-1exp1
    • 8.15.0~rc2-1~exp1
    • 8.15.0~rc3-1~exp1
    • 8.16.0-1
    • 8.16.0-1+exp1
    • 8.16.0-1~bpo13+1
    • 8.16.0-2
    • 8.16.0-3
    • 8.16.0-4
    • 8.16.0-4~bpo13+1
    • 8.16.0~rc1-1~exp1
    • 8.16.0~rc2-1
    • 8.16.0~rc2-2
    • 8.16.0~rc3-1
    • 8.17.0-1
    • 8.17.0-2
    • 8.17.0-3
    • 8.17.0~rc1-1~exp1
    • 8.17.0~rc2-1
    • 8.17.0~rc3-1
    • 8.18.0-1
    • 8.18.0-1~bpo13+1
    • 8.18.0-2
    • 8.18.0~rc1-1+exp1
    • 8.18.0~rc2-1
    • 8.18.0~rc3-1
    • 8.19.0-1
    • 8.19.0-1+exp1
    • 8.19.0-1~bpo13+1
    • 8.19.0-2
    • 8.19.0-3
    • 8.19.0-3+exp1
    • 8.19.0-3+exp2
    • 8.19.0~rc1-1~exp1
    • 8.19.0~rc2-1
    • 8.19.0~rc2-2
    • 8.19.0~rc3-1
    • 8.20.0-1
    • 8.20.0-1+exp
    • 8.20.0-2
    • 8.20.0-2+exp1
    • 8.20.0-2~bpo13+1
    • 8.20.0-3
    • 8.20.0-4
    • 8.20.0-5
    • 8.20.0-5~bpo13+1
    • 8.20.0~rc1-1+exp1
    • 8.20.0~rc1-1+exp2
    • 8.20.0~rc1-1+exp3
    • 8.20.0~rc2-1
    • 8.20.0~rc2-1+exp1
    • 8.20.0~rc3-1
    • 8.20.0~rc3-1+exp1
    • 8.21.0~rc1-1+exp1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 8.21.0~rc2-1

    Actualiza a 8.21.0~rc2-1

  • curl Ubuntu:26.04:LTS

    Versiones
    • 8.14.1-2ubuntu1
    • 8.17.0-1ubuntu1
    • 8.18.0-1ubuntu1
    • 8.18.0-1ubuntu2
    • 8.18.0-1ubuntu2.1
    • 8.18.0-1ubuntu2.2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 8.18.0-1ubuntu2.3

    Actualiza a 8.18.0-1ubuntu2.3

Fuentes originales

Comprueba tu servidor →