CVE-2026-6276 : fuite de cookies vers des hôtes tiers via un en-tête host obsolète dans curl

HERMES

SCORE DE MENACE HERMES & SURFACE D'ATTAQUE SYSTÈME

Cible : curl / libcurl (lib/cookie.c)

Confiance : 94%

76 / 100

MEDIUM

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 18 / 20

Activité de menace 16 / 20

Militarisation 17 / 20

Exposition 18 / 20

Prévalence 19 / 20

Impact 18 / 20

Maturité de l'exploit 17 / 20

Potentiel d'attaque en chaîne 19 / 20

⚖️ Divergence & Justification opérationnelle

Le score CVSS v3.1 évalue CVE-2026-6276 à 6.5 (MEDIUM, CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N). Le score opérationnel Hermes s'établit à 76 (MEDIUM) en raison de l'exposition critique de ce composant d'infrastructure.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-6276: curl Stale Custom Host Header Cookie LeakVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTSudo Privilege Manager

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Sudo Privilege Manager documented in Hermes dossier.”

Preuves vérifiées associées :

[vulnerability_report]
[government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

1. Contexte technique & matrice des versions affectées

Le composant logiciel curl / libcurl (lib/cookie.c) assure des fonctions fondamentales d’exécution et de sécurité dans les infrastructures Linux et Unix d’entreprise.

Paramètre	Spécification technique	Contexte threat intelligence
Identifiant CVE	`CVE-2026-6276`	Bulletin officiel de sécurité amont
Produit affecté	`curl:curl`	Composant d’infrastructure système
Composant vulnérable	`curl / libcurl (lib/cookie.c)`	Bibliothèque / Démon / Émulateur
Classe de faiblesse	`CWE-200: Exposure of Sensitive Information / CWE-613: Insufficient Session Expiration`	Contrôle de sécurité / Sûreté mémoire
Score CVSS v3.1	6.5 (MEDIUM / Score Hermes 76)	`CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N`
Version corrigée	`8.20.0`	Correctif officiel amont
Techniques MITRE ATT&CK	T1539 - Steal Web Session Cookie, T1557 - Adversary-in-the-Middle	Élévation de privilèges / Évasion de défenses
Référence forensique	Journaux d’authentification et gestion des sessions Linux	Analyse des artefacts et traces d’exécution

2. Décomposition technique approfondie & cause racine

L’examen du code source incriminé met en évidence les défaillances de contrôle de politique ou de gestion de la mémoire sous des entrées atypiques.

// Bug in lib/cookie.c
char *Curl_cookie_getlist(struct Curl_easy *data, struct CookieInfo *c, const char *host)
{
    /* VULNERABILITY: If data->state.custom_host was set in request 1,
       it is NOT cleared when request 2 removes custom headers! */
    const char *target_domain = data->state.custom_host ? data->state.custom_host : host;

    /* Collects cookies matching target_domain, sending them to host! */
    return find_matching_cookies(c, target_domain);
}

Lorsque les conditions d’exploitation sont réunies, le chemin critique contourne les mécanismes de contrôle d’accès ou corrompt l’espace mémoire, offrant une primitive fiable pour un attaquant.

3. Scénarios d’attaque & modélisation des menaces

Vecteur initial & prérequis : un service applicatif interroge une API interne authentifiée (ex.
Déclenchement de la primitive : l’attaquant forge des arguments spécifiques ou injecte des paquets réseau vers curl / libcurl (lib/cookie.c).
Rupture d’isolement / corruption mémoire : le contrôle de sécurité prévu est contourné.
Conséquences opérationnelles : les cookies de session internes sont alors divulgués au serveur tiers dans l’en-tête Cookie..

4. Détection forensique, artefacts & logs système

Les équipes de sécurité et d’investigation numérique peuvent détecter les tentatives d’exploitation en surveillant les journaux d’audit et les rapports de crash.

Journaux système & télémétrie

Surveillez les journaux à la recherche des motifs de détection : syslog: unexpected Cookie header sent to external host in application access log. Recherchez les arrêts anormaux de processus ou les crashs inexpliqués.

Auditd & traçage de processus

Déployez des règles d’audit pour tracer les exécutions et appels système suspects. Consultez Journaux d’authentification et gestion des sessions Linux.

title: libcurl Suspicious Internal Cookie Header Leak to External Domain (FR)
id: cve-2026-6276
status: experimental
description: Détecte les artefacts d'exploitation et signatures d'arrêt anormal pour CVE-2026-6276.
logsource:
    category: process_creation
    product: linux
detection:
    selection:
        - 'syslog:'
        - 'curl'
    condition: selection
fields:
    - CommandLine
    - User
level: high

# Surveillance par tracepoint eBPF de curl:curl
sudo bpftrace -e '
kprobe:*Curl_cookie_getlist {
    printf("PID %d (%s) a exécuté la fonction cible\n", pid, comm);
}'

5. Remédiation, durcissement & mesures d’atténuation

La protection des environnements face à la vulnérabilité CVE-2026-6276 repose sur le déploiement des correctifs et l’application du principe de moindre privilège :

Mise à niveau logicielle : mettez à jour curl:curl vers la version 8.20.0 ou ultérieure via les dépôts officiels de votre système d’exploitation.
Durcissement des accès : révisez les règles de délégation, les permissions sur les sockets IPC et les descripteurs partagés.
Surveillance forensique : pour approfondir les méthodes d’investigation et l’analyse d’incidents, consultez notre guide dédié sur Journaux d’authentification et gestion des sessions Linux.