curl Patches HTTP/2 Upload Flaw After PoC Demonstrates Client-Side Code Execution

El fallo afecta a curl y libcurl versiones 8.12.0 a 8.22.0 (distribuido desde febrero de 2025). El ataque requiere que el cliente cargue un archivo de aproximadamente 135 KB sobre HTTP/2 a un servidor controlado por el atacante; la conexión debe ser HTTPS y el certificado debe pasar las validaciones del cliente. libcurl negocia HTTP/2 por defecto para URLs HTTPS cuando el servidor lo ofrece.

El vector de ataque es complejo: el servidor congela la transferencia estableciendo la ventana HTTP/2 a cero, devuelve parte de la respuesta, reinicia el stream y mantiene la conexión abierta. curl interpreta el reinicio como motivo para reintentar. Durante la limpieza, curl notifica al nivel HTTP/2 que la transferencia ha terminado y luego descarga los bytes de carga pendientes en la misma conexión. Sin transferencia registrada, esos bytes se leen como una nueva solicitud y se abre un nuevo stream que almacena un puntero al handle. Cuando la aplicación libera el handle, la conexión antigua mantiene el puntero y lo usa cuando el servidor envía frames en ese stream.

La explotación requiere que el atacante conozca la versión exacta de curl, arquitectura, asignador libc y disposición del heap objetivo. El payload está limitado a unos 23 bytes. Según el equipo de curl, «el resultado más probable de un intento de ataque es simplemente un crash». Anthropic identificó el fallo mediante su nuevo OSS Scanner, que utiliza modelos de IA para auditar proyectos de código abierto.