60-second brief
This is an original IROSG editorial analysis based on the cited primary source.
- در disclosure هماهنگ‌شده، ۲۲ آسیب‌پذیری curl مطرح شده‌اند که یک مورد High و بقیه Low/Medium توصیف شده‌اند.
- CVE-2026-92392 در ارزیابی Ubuntu امتیاز 8.1 دارد و طبق Canonical مورد High در Ubuntu 26.04 LTS اثر دارد.
- Canonical برای Ubuntu 26.04 اصلاحیه منتشر کرده و برای releaseهای پشتیبانی‌شدهٔ دیگر نیز به‌روزرسانی‌های مرتبط ارائه می‌شود.
What changed?
curl تقریباً همه‌جا حضور دارد: اسکریپت، CI، image کانتینر، سیستم‌عامل و ابزارهای مدیریت. به همین دلیل خبر آسیب‌پذیری curl را نباید فقط با این سؤال خواند که «روی سرور ما curl نصب است؟». مهم‌تر این است که کدام کتابخانه یا محصول libcurl را embed کرده و کدام مسیر شبکه‌ای واقعاً قابل دسترسی است.
Technical view
در این disclosure مجموعه‌ای از مشکلات با severity متفاوت مطرح شده و CVE-2026-92392 برجسته‌ترین مورد است. ارزیابی عملی باید نسخهٔ package، patch level توزیع و نحوهٔ استفادهٔ برنامه از curl/libcurl را کنار هم بگذارد. صرف مقایسهٔ upstream version ممکن است در توزیع‌هایی که patch را backport می‌کنند نتیجهٔ اشتباه بدهد.
Who should care?
تیم Linux، SOC، Vulnerability Management، DevOps و صاحبان base imageهای کانتینری مخاطبان اصلی این خبرند.
Before adopting
USN/اطلاعیهٔ Canonical را با package نصب‌شده تطبیق دهید، apt update/upgrade را ابتدا روی canary اجرا کنید، سرویس‌های وابسته را بعد از patch تست کنید و container imageها را rebuild کنید. اگر asset inventory ندارید، همین خبر فرصت خوبی است تا dependency سطح OS و embedded library را جدا ثبت کنید.
Caveat
CVSS بالا به‌تنهایی اثبات exploitation در محیط شما نیست و نسخهٔ upstream به‌تنهایی اثبات آسیب‌پذیری package Ubuntu نیست. patch status توزیع را منبع اصلی تصمیم قرار دهید.
What to watch
اگر advisoryهای تکمیلی، exploit عمومی یا تغییر در severity منتشر شود، اولویت ممکن است عوض شود. همچنین imageهای قدیمی CI و container registry را فراموش نکنید.
