Contexte du CNA et du processus CVE

Le projet curl est devenu CNA (CVE Numbering Authority) il y a quelques années, ce qui lui permet d’allouer directement des identifiants CVE pour les vulnérabilités qu’il juge pertinentes. Depuis, 57 CVE ont été publiés, chaque attribution se faisant en quelques secondes via une simple requête API. Le modèle CNA simplifie la chaîne de décision : aucune tierce partie n’intervient, le projet utilise son processus interne de réception, d’évaluation et de classification des rapports.

Analyse du bug de vérification d’hôte

Le différend porte sur un défaut dans la fonction Curl_cert_hostcheck(), utilisée par les back‑ends TLS d’OpenSSL ou Schannel. Le bug se déclenche lorsqu’un URL contient un nom d’hôte commençant par un point, par exemple https://.example.com/. Ce nom est illégal en DNS, mais il peut être résolu via /etc/hosts. Si le serveur présenté possède un certificat générique *.example.com, la fonction de vérification renvoie à tort TRUE, acceptant la connexion alors que la spécification indique un rejet. Le problème a été corrigé le 8 décembre 2025 et des tests unitaires ont été ajoutés pour couvrir ce scénario.

Évaluation du risque et justification du refus

Le rapport initial décrit une chaîne de conditions très improbable : (1) utilisation d’un nom d’hôte préfixé d’un point, (2) résolution locale réussie, (3) présence d’un certificat générique correspondant, (4) présence d’un attaquant capable de fournir le serveur imposteur. Le projet estime que ces exigences placent le problème « lower than LOW », c’est‑à‑dire un risque négligeable. Avec environ trente milliards d’instances de libcurl déployées, chaque CVE déclenche des campagnes de correctifs dans de nombreuses équipes de sécurité, générant un coût opérationnel important. Le CNA a donc jugé que le coût de diffusion d’un CVE dépasserait le bénéfice de signaler une vulnérabilité pratiquement inexploitable.

Implications pour la communauté

MITRE a confirmé le refus le 24 juin 2026, qualifiant le problème de simple bug corrigé dans la branche principale. Cette décision illustre la tension entre la transparence des vulnérabilités et la gestion pragmatique des alertes de sécurité. Les utilisateurs de curl doivent néanmoins rester vigilants : même si le scénario décrit est rare, il rappelle l’importance de valider les noms d’hôte et les certificats côté client, surtout dans des environnements où des résolutions non‑DNS sont autorisées. Le processus CNA de curl montre qu’une gouvernance interne peut accélérer la réponse aux rapports, mais que la classification des risques doit rester ancrée dans des critères mesurables et non dans des hypothèses théoriques.