curl/libcurlで新たに複数の脆弱性が公開、8.18.0で修正(CVE-2025-13034)|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年01月09日更新日時: 2026年01月09日

curlプロジェクトは2026年1月6日〜7日（UTC）にかけて、curl/libcurlに関する複数の脆弱性（CVE）を公開しました。いずれも幅広いバージョン範囲に影響し得る内容で、curl 8.18.0 以降で修正済み（＝8.17.0までが影響）とされています。

1 curl/libcurlで新たに複数の脆弱性が公開、8.18.0で修正――リダイレクト時のトークン漏えいなど
2 今回公開された主な脆弱性（2026年1月6日〜7日公開分）

curl/libcurlで新たに複数の脆弱性が公開、8.18.0で修正――リダイレクト時のトークン漏えいなど

今回公開された主な脆弱性（2026年1月6日〜7日公開分）

CVE-2025-14524：クロスプロトコル・リダイレクトでBearerトークンが漏えいする可能性（Low）

OAuth2のBearerトークンを使ったHTTP(S)通信が、条件付きでIMAP/LDAP/POP3/SMTPなど別プロトコルへリダイレクトされた際に、トークンを誤って引き継いで送ってしまう可能性があるとされています。

影響範囲は curl 7.33.0〜8.17.0、8.18.0以降は非影響です。

CVE-2025-15224：libsshバックエンド利用時の認証挙動（Low）

SCP/SFTPの公開鍵認証において、libcurlをlibsshバックエンドでビルドしている場合、ユーザー意図に反してローカルのSSHエージェント認証へフォールバックしてしまう問題が記載されています。
影響範囲は curl 7.58.0〜8.17.0、8.18.0以降は非影響です。

CVE-2025-13034：QUIC + GnuTLS条件下で証明書ピンニング検証が抜ける可能性（Medium）

CURLOPT_PINNEDPUBLICKEY（または--pinnedpubkey）によるピンニング検証が、QUIC（ngtcp2）+ GnuTLSの特定条件下でスキップされ、なりすまし（impostor）検知が期待通りに働かない可能性があるとされます。
影響範囲は curl 8.8.0〜8.17.0、8.18.0以降は非影響です。

※このほか、同日付で CVE-2025-15079（libssh既知ホストの扱い）、CVE-2025-14819（OpenSSLの部分チェーン関連）、CVE-2025-14017（スレッドLDAPSのTLSオプション） なども公表されています（いずれも“Not affected: >= 8.18.0”の形式で整理されています）。