CVE-2025-5025
ŚrednieStreszczenie
libcurl obsługuje przypinanie klucza publicznego certyfikatu serwera dla transferów HTTPS. Z powodu pominięcia, sprawdzenie to nie jest wykonywane podczas łączenia z QUIC dla HTTP/3, gdy backend TLS to wolfSSL. Dokumentacja mówi, że opcja działa z wolfSSL, ale nie precyzuje, że nie działa dla QUIC.
Ocena ryzyka
Może to pozwolić na akceptację nieautoryzowanych certyfikatów w połączeniach HTTP/3, co zwiększa ryzyko ataków man-in-the-middle.
Rekomendacja
Zaktualizuj libcurl do wersji z poprawką i rozważ użycie innego backendu TLS dla połączeń QUIC.
Oryginalny opis (angielski, źródło NVD)
libcurl supports *pinning* of the server certificate public key for HTTPS transfers. Due to an omission, this check is not performed when connecting with QUIC for HTTP/3, when the TLS backend is wolfSSL. Documentation says the option works with wolfSSL, failing to specify that it does not for QUIC a