curl 8.23.0, HTTP/2 Yükleme Açığını Kapattı: Saldırgan Sunucu İstemcide Kod Çalıştırabiliyor

Popüler veri transfer aracı curl'de, HTTP/2 protokolü üzerinden dosya yüklemesi yapılırken ortaya çıkan ciddi bir güvenlik açığı gün yüzüne çıktı. CVE-2026-92392 olarak takip edilen bu açık, kötü niyetli bir sunucunun yükleme yapan istemcinin belleğini bozmasına ve araştırmacının geliştirdiği kavram kanıtı (PoC) saldırısıyla istemci tarafında kod çalıştırılmasına zemin hazırlıyor. curl projesi, 14 Ekim'de yayımlanan 8.23.0 sürümüyle açığı kapatırken bu süreç için normal yayın döngüsünü iki hafta kısalttı.

Açık Nedir, Hangi Sürümleri Etkiliyor?

Açık, hem komut satırı aracı hem de pek çok programın dosya transferi için kullandığı kütüphane olan curl ve libcurl'ün 8.12.0 ile 8.22.0 arasındaki tüm sürümlerini kapsıyor. Şubat 2025'te yayımlanan 8.12.0 sürümünden bu yana her curl çıkışında mevcut olan bu zafiyetin şimdiye kadar aktif olarak istismar edildiğine dair herhangi bir kaynak bulunmuyor.

Teknik sınıflandırma açısından "use-after-free" kategorisinde yer alan açık, curl'ün kendi dört kademeli ölçeğinde Yüksek (High) olarak değerlendiriliyor. Bu, projenin Ekim 2023'teki SOCKS5 heap overflow açığından bu yana yayımladığı ilk Yüksek önem düzeyli güvenlik sorununu temsil ediyor. curl, CVSS puanı yayımlamamakta; yalnızca kendi dört düzeyli ölçeğini kullanmaktadır.

Saldırı Nasıl İşliyor?

Saldırı tamamen sunucu tarafından yönetiliyor. İstemcinin, saldırganın kontrolündeki bir sunucuya HTTP/2 üzerinden yaklaşık 135 KB boyutunda bir dosya yüklemesi ve sunucunun sertifikasının istemcinin denetimlerinden geçmesi gerekiyor. libcurl, HTTP/2 desteğiyle derlenmiş olduğunda https:// URL'leri için varsayılan olarak HTTP/2 müzakeresi yapıyor.

curl'ün baş geliştiricisi Daniel Stenberg, yayınla birlikte kaleme aldığı bir yazıda açığın teknik ayrıntılarını açıkladı. HTTP/2, tek bir bağlantı üzerinden birden fazla transfer taşıyor; libcurl her transferi "easy handle" adını verdiği bir nesneyle izliyor. Yükleme sırasında sunucu, HTTP/2 penceresini sıfıra çekerek transferi durduruyor, yanıtın bir bölümünü gönderiyor ve ardından bağlantıyı açık tutarken akışı sıfırlıyor. curl bu sıfırlamayı yeniden deneme gerekçesi olarak yorumluyor.

Temizlik aşamasında curl önce HTTP/2 katmanına transferin bittiğini bildiriyor, ardından gönderilmemiş yükleme verilerinin geri kalanını aynı bağlantı üzerinden akıtıyor. Kayıtlı transfer olmadığından bu artık baytlar yeni bir istek olarak okunuyor. Araştırmacının yüklenen dosyaya yerleştirdiği satır deseni, bu baytların istek satırları gibi görünmesini sağlıyor. Bu noktada yeni bir akış açılıyor ve easy handle'a bir işaretçi depolanıyor.

Yeniden deneme, yeni bir HTTP/1.1 bağlantısı üzerinden tamamlanıyor ve uygulama handle'ı serbest bırakıyor. Ancak eski bağlantı bu işaretçiyi tutmaya devam ediyor; sunucu o akış üzerinde bir çerçeve gönderdiğinde —bu durum program çıkışı sırasında gerçekleşebiliyor— serbest bırakılmış handle'ın belleğine erişiliyor. Araştırmacının geliştirdiği açıkta sunucudan gelen veri, serbest bırakılan handle'ın kullandığı belleğe yazılıyor. Dışarı giden bir istek yerel adresleri sızdırıyor; sunucu bu bilgiyi adres alanı düzeni rastgeleleştirmesini (ASLR) aşmak için kullanıyor. Bellekteki bir fonksiyon işaretçisi sunucudan gelen baytlarla üzerine yazılıyor ve curl bunu çağırıyor.

Bununla birlikte Stenberg, başarılı bir saldırının son derece güç olduğunun altını çiziyor. Saldırganın hedefin tam curl sürümünü, mimarisini, libc tahsis edicisini ve heap düzenini bilmesi; iki paralel transferin zamanlamasını doğru tutması ve yükü yaklaşık 23 bayta sığdırması gerekiyor. "Girişimin en olası sonucu çökmedir" diyen Stenberg, bu nedenle açığın Kritik değil Yüksek olarak sınıflandırıldığını belirtiyor.

Düzeltme: Altı Satırlık Kod Değişikliği

Düzeltme, Stefan Eissing tarafından lib/multi.c dosyasında yapılan altı satırlık bir yeniden sıralamadan ibaret. HTTP/2 katmanı artık handle'a olan referanslarını, artık yükleme verisi akıtıldıktan sonra bırakıyor; önceki davranışın aksine bu işlem artık akıtmadan önce gerçekleşmiyor. Ulusal Güvenlik Açıkları Veritabanı (NVD), 14 Ekim itibarıyla kaydı henüz analiz etmemişti.

Hangi Sürüme Geçilmeli?

curl, 8.23.0 sürümüne geçilmesini ya da düzeltme taahhüdünün yerel derlemeye uygulanmasını öneriyor. Makine tarafından okunabilir güvenlik duyurusu üç eski dal için de sabit sürümleri listeliyor:

curl ve libcurl 8.12.0–8.22.0: 8.23.0 sürümüne geçin
8.14.x dalı: 8.14.3
8.16.x dalı: 8.16.2
8.20.x dalı: 8.20.2
Debian 13 (trixie): DSA-6558-1 aracılığıyla 8.14.1-2+deb13u7

Debian 12 (bookworm) etkilenen kodu barındırmıyor. Güncelleme yapılamıyorsa curl'ün tavsiyesi HTTP/2 kullanmamak; komut satırı aracında --http1.1 seçeneği, uygulamalarda ise CURLOPT_HTTP_VERSION ile CURL_HTTP_VERSION_1_1 ayarı bu amaçla kullanılabiliyor. libcurl'de HTTP/2 desteği derleme seçeneğiyle belirleniyor; bu desteği içermeyen bir derleme HTTP/2 müzakeresi yapamayacağından söz konusu yükleme yoluna ulaşamıyor. Sürüm toplamda 24 CVE düzeltiyor; diğer 23'ü Düşük önem düzeyinde.

Açığı Bulan: Anthropic'in OSS Tarayıcısı

Rapor, 15 Eylül'de HackerOne aracılığıyla curl ekibine ulaştı; güvenlik ekibi saatler içinde doğruladı. 7 Ekim'de proje, bir sonraki sürüm için Yüksek önem düzeyli bir düzeltme geleceğini önceden duyurarak yayın döngüsünü sekiz haftadan altıya indirdi. curl, bulguyu "Luna with Claude, Anthropic" olarak belirtiyor. Stenberg, araştırmacının Anthropic'ten Luna Tong olduğunu, bulgunun şirketin yeni OSS Tarayıcısı aracılığıyla geldiğini ve yapay zeka modellerinin sürece dahil olduğunu tahmin ettiğini belirtiyor.

Anthropic, OSS Tarayıcısını 8 Ekim'de isteğe bağlı bir hizmet olarak duyurdu. Kayıtlı açık kaynak projelerini modelleriyle tarayan sistem, sonuçları insan incelemesi olmaksızın e-posta yoluyla iletiyor; her rapor bir yeniden üretici ve varsa aday bir yama içeriyor. curl raporu bu kamuya açık lansmanın üç hafta öncesine dayanıyor. Anthropic'in lansman yazısında Stenberg'den alınan bir alıntıda tarayıcının "son birkaç yılın en kötü curl güvenlik açıklarından birini" ortaya çıkardığı belirtilmişti.

Stenberg, Temmuz 2025'te kaleme aldığı bir yazıda o yıl curl'e gelen güvenlik bildirimlerinin yaklaşık beşte birinin "AI saçması" olduğunu ve yalnızca yirmide birinin gerçek çıktığını yazmıştı. Stenberg ayrıca curl'ün yıllardır handle'lara yönelik iç işaretçi sayısını azaltıp bunların yerine gerektiğinde arandığı tanımlayıcılar kullandığını, ancak bunun başka bir use-after-free'ye karşı güvence vermediğini aktardı. curl, bu açığın bellek güvenli bir dilde büyük olasılıkla önlenebilecek bir hata olduğunu kabul ediyor; ancak projenin curl'ü böyle bir dilde yeniden yazmayı planlamadığı belirtiliyor.

Sıkça Sorulan Sorular

CVE-2026-92392 açığı hangi curl sürümlerini etkiliyor?

Açık, Şubat 2025'te yayımlanan 8.12.0 sürümünden itibaren 8.22.0 dahil tüm curl ve libcurl sürümlerini etkiliyor. 8.23.0 ve üzeri sürümler ile eski dallara yönelik yama sürümleri (8.14.3, 8.16.2, 8.20.2) etkilenmiyor.

Saldırganın bu açığı başarıyla istismar etmesi ne kadar güç?

curl baş geliştiricisi Daniel Stenberg'e göre başarılı bir saldırı son derece güç. Saldırganın hedefin tam curl sürümünü, mimarisini, libc tahsis edicisini ve heap düzenini bilmesi; iki paralel transferin zamanlamasını doğru tutması ve yükü yaklaşık 23 bayta sığdırması gerekiyor. Stenberg, girişimin en olası sonucunun çökme olduğunu belirtiyor; bu nedenle açık Kritik değil Yüksek olarak sınıflandırıldı.

Güncelleme yapılamıyorsa ne yapılmalı?

curl'ün tavsiyesi HTTP/2 kullanmamak. Komut satırı aracında --http1.1 seçeneği HTTP/1.1'e geçişi sağlıyor; uygulamalar ise CURLOPT_HTTP_VERSION parametresini CURL_HTTP_VERSION_1_1 olarak ayarlayabiliyor. HTTP/2 desteği olmadan derlenen libcurl bu güvenlik açığını içeren yükleme yoluna ulaşamıyor.

Açığı kim buldu ve nasıl raporlandı?

Stenberg'e göre açığı Anthropic'ten Luna Tong buldu; bulgu, şirketin OSS Tarayıcısı aracılığıyla geldi. Rapor 15 Eylül'de HackerOne üzerinden iletildi ve güvenlik ekibi saatler içinde doğruladı. curl, bulguyu "Luna with Claude, Anthropic" olarak tanımlıyor. HackerOne raporundaki kötü niyetli sunucu betiği ve Docker kapsayıcısı, 14 Ekim'de güvenlik duyurusuyla birlikte kamuya açıldı.

Düzeltme teknik olarak nasıl yapıldı?

Düzeltme, Stefan Eissing tarafından lib/multi.c dosyasında yapılan altı satırlık bir yeniden sıralamadan oluşuyor. HTTP/2 katmanı artık easy handle'a olan referanslarını, artık yükleme verisi akıtıldıktan sonra bırakıyor; önceki hatalı davranışın aksine bu işlem artık akıtmadan önce gerçekleşmiyor.