CVE-2026-5545: HTTP認証再利用の誤り libcurl

この脆弱性を悪用されると、攻撃者は機密情報を盗み出す可能性があります。例えば、認証されたユーザーとして別のユーザーのデータにアクセスしたり、機密性の高い情報を傍受したりすることが考えられます。攻撃者は、最初に有効な認証情報を使用して接続を確立し、次に脆弱なバージョンのlibcurlを使用するアプリケーションを通じて、異なる認証情報で認証された接続を再利用することで、この脆弱性を悪用できます。この攻撃は、WebアプリケーションやAPIサーバーなど、libcurlを使用する多くのシステムに影響を与える可能性があります。攻撃の成功は、アプリケーションが接続の再利用方法に依存し、認証情報の検証が不十分な場合に高まります。

1. 予約済み2026-04-04
2. 公開日2026-05-13
3. EPSS 更新日2026-05-13

この脆弱性への主な対策は、libcurlをバージョン8.19.1以降にアップデートすることです。アップデートがすぐに利用できない場合は、WAF（Web Application Firewall）を使用して、認証情報の再利用に関連する異常なリクエストをブロックすることを検討してください。また、アプリケーションレベルで、接続の再利用を制限したり、認証情報を厳密に検証したりする対策を講じることも有効です。接続プーリングの設定を見直し、認証情報が正しく検証されるように構成する必要があります。アップデート後、libcurlのバージョンを確認し、脆弱性が修正されていることを確認してください。