AlmaLinux 9.6 [TuxCare] 安全更新：curl / curl-minimal / libcurl / libcurl-devel / libcurl-minimal 多个漏洞 （ALMALINUX9.6：CLSA-2026：1790152441）
critical Nessus 插件 ID 352406
语言：
简介
AlmaLinux 主机缺少一个或多个安全更新。描述
AlmaLinux 9.6 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.6：CLSA-2026：1790152441公告中提及的多个漏洞的影响。- 将父句柄设置为与其他句柄共享连接时，libcurl 对 HTTP/2 服务器推送流的处理中的缺陷可在清除过程中导致释放后使用。（CVE-2026-18924）
- 当“CURLOPT_PINNEDPUBLICKEY”与禁用标准对等机验证（“CURLOPT_SSL_VERIFYPEER = 0”和“CURLOPT_SSL_VERIFYHOST = 0”）的选项同时配置时，libcurl 无法在没有提供服务器证书的情况下建立的连接上强制执行公钥锁定。在这些禁用验证情况下绕过固定检查会允许未经认证的连接在应该被拒绝时成功。（CVE-2026-80230）
- 当启用 libpsl 支持时，当处理“Set-Cookie”标头时，libcurl 无法强制执行公共后缀列表边界检查，其中“Domain”属性明确匹配自身为公共后缀的源主机（如，“co.uk”设置的“Domain=co.uk”）。libcurl 使用通配符域范围 （'.co.uk'） 保存 cookie，而不是将其强制转换为严格的仅限主机 cookie。因此，cookie 被不当包含在后续出站请求中，或 HTTP 重定向至同一公共后缀（如“attacker.co.uk”）下的任意同级子域中。（CVE-2026-82209）
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
根据 TuxCare 公告 ALMALINUX9.6：CLSA-2026：1790152441 中的指南更新受影响的程序包。另见
插件详情
严重性: Critical
ID: 352406
文件名: tuxcare_alma_linux_9.6_CLSA-2026-1790152441.nasl
版本: 1.1
类型: Local
发布时间: 2026/9/30
最近更新时间: 2026/9/30
支持的传感器: Continuous Assessment, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.3
百分位: 53.45
Vendor
Vendor Severity: Important
CVSS v2
风险因素: High
基本分数: 9.4
时间分数: 7.4
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:C
CVSS 分数来源: CVE-2026-18924
CVSS v3
风险因素: Critical
基本分数: 9.1
时间分数: 8.2
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
必需的 KB 项: Host/OS/extended-third-party, Host/local_checks_enabled, Host/AlmaLinux/release, Host/AlmaLinux/rpm-list, Host/cpu
可利用: true
易利用性: Exploits are available
补丁发布日期: 2026/9/23
漏洞发布日期: 2026/9/3
参考资料信息
CVE: CVE-2026-18924, CVE-2026-80230, CVE-2026-82209
CLSA: 2026:1790152441