libcurl-NTLM认证连接复用漏洞(CVE-2026-19931)

一、漏洞技术信息

漏洞类型：身份验证绕过漏洞（NTLM认证连接复用缺陷）

影响产品及版本：受影响的软件为 Libcurl，受影响版本范围为 8.9.0 ≤ Libcurl < 8.10.1。

攻击场景：攻击者可通过控制或干扰目标程序访问的HTTP/2服务端响应，构造异常HTTP/2帧交互场景，利用连接复用缺陷使不同用户的请求通过已认证的NTLM连接发送，导致身份验证绕过或服务拒绝。

在野利用情况：目前未发现公开的在野利用证据，但漏洞的CVSS评分为7.5（高危），且攻击复杂度低（AC:L）、无需用户交互（UI:N），存在被快速武器化的风险。

威胁团伙：暂未关联到已知威胁团伙，但需关注自动化攻击工具或勒索软件组织的潜在利用。

二、安全活动事件分析

事件一：2026年9月6日，Haxx官方发布安全公告披露该漏洞，建议用户升级至Libcurl 8.10.1版本修复。

事件二：2026年9月7日，HackerOne平台公开了漏洞报告（编号#3923520），指出漏洞可能导致跨用户认证上下文混淆，但未提供具体攻击案例。

三、技术分析和建议

分析：漏洞本质是Libcurl未正确处理NTLM认证的连接复用逻辑，攻击者可通过恶意HTTP/2服务端响应触发连接状态错乱，使后续请求携带错误用户的认证凭据。此漏洞可能被用于：绕过身份验证：窃取其他用户的认证会话，访问受保护资源：1.服务拒绝：通过频繁触发连接重置导致目标服务崩溃。2.建议优先修复依赖Libcurl的客户端应用，尤其是涉及NTLM认证的自动化任务（如数据同步、API调用）。

四、建议措施

紧急升级：将Libcurl升级至 8.10.1或更高版本，修复官方提交的HTTP/2重置处理逻辑缺陷。

临时缓解：1.限制关键业务流量仅使用HTTP/1.1协议；

2.配置客户端禁用HTTP/2支持或强制使用新连接；3.在代理层监控异常HTTP/2帧（如RST_STREAM、GOAWAY）。

检测与监控：1.通过包管理器或构建清单排查受影响版本；2.部署网络层检测规则，识别异常HTTP/2交互模式。

五、结论概述

综合分析，Libcurl的NTLM认证连接复用漏洞（CVE-2026-19931）因涉及高危身份验证缺陷及网络可攻击性，需立即采取修复措施。尽管当前无公开利用证据，但其低攻击复杂度和高可用性影响评分表明存在较大潜在风险。建议结合协议降级与版本升级双重策略，降低攻击面。