В curl 8.23.0 закрыли опасный Use-After-Free в HTTP/2. Уязвимость нашла команда Anthropic через свой OSS Scanner. Атакующий может выполнить код на клиенте, но для успеха нужно совпадение кучи условий — размер аплоада ~135 КБ, специфичный дистрибутив и TLS-стек. В реальности скорее упадёт, чем выполнит код.
curl, будучи CNA, впервые столкнулся с эскалацией в MITRE: репортер настаивает на CVE для бага с hostname вида .example.com. Команда curl считает проблему чисто теоретической — требуется локальный доступ, /etc/hosts и wildcard-сертификат. В проекте напоминают о «цене CVE» для экосистемы из 30 миллиардов инсталляций.
Даниэль Стенберг объявил для curl «summer of bliss»: с 1 июля по 3 августа новые vulnerability reports не принимаются, если у вас нет платного контракта на поддержку. Причина простая и без PR-риторики — четыре месяца жёсткой нагрузки, и команде нужен перерыв, хотя поток проблем, судя по тексту, никуда не делся.