Lobsters | 📄 原文链接 | 2026-10-15 收录

一次 use-after-free 如何走到远程代码执行

来源：daniel.haxx.se — 2026-10-14

📋 概述

Daniel Stenberg 解释 curl 8.23.0 修复的一个高危漏洞 CVE-2026-92392（HTTP/2 上传 use-after-free）。触发条件是应用通过 HTTP/2 向服务器上传：服务器先把窗口置零暂停发送、返回部分响应并重置流；curl 正确收完传输，却遗留了一个指向该 easy handle 的悬垂指针。应用随后释放 easy handle 并清理 multi handle 时，libcurl 误判情形、分配下载缓冲、顺着悬垂指针把服务器数据写进刚释放的那块内存，请求中还泄漏了本地地址等内部信息，最后通过被改写的函数指针执行远程代码。作者强调实际利用需要极苛刻的条件，因此评级只是 HIGH 而非 CRITICAL，最可能的结果是崩溃；漏洞由 Anthropic 的 Luna Tong 用其新 OSS Scanner 发现。

🔑 核心要点

漏洞编号 CVE-2026-92392（HTTP/2 上传 use-after-free），定级 HIGH
触发路径：服务器把 HTTP/2 窗口置零暂停发送、返回部分响应后重置流，而 curl 遗留了指向已释放 easy handle 的悬垂指针
写入泄漏：过程中 curl 发出的请求泄漏了本地地址等内部细节，而这正是绕过 ASLR 所需的关键线索
最终通过被改写过的函数指针执行远程代码，但利用条件极苛刻，最可能的结果只是崩溃
漏洞由 Anthropic 的 Luna Tong 用其新的 OSS Scanner 发现
curl 的应对思路是减少内部 handle 指针，改为按需查表使用传输标识符，稍慢一些但更不易出错

💡 金句

我们不会重写 curl——不是换一种语言，也不是重写成 C。我们会一直迭代、打磨、改进与重构，直到时间的尽头。

← 返回 Lobsters 首页