关键漏洞信息 漏洞ID: CURL-CVE-2025-5025 别名: CVE-2025-5025 摘要: No QUIC certificate pinning with wolfSSL 修改时间: 2025-05-28T08:10:29.00Z 数据库特定信息: - 包类型: curl - 影响范围: both - URL: https://curl.se/docs/CVE-2025-5025.json - WWW: https://curl.se/docs/CVE-2025-5025.html - 问题报告: https://hackerone.com/reports/3153497 CWE: - ID: CWE-295 - 描述: Improper Certificate Validation 奖励: - 金额: 2540 USD 最后受影响版本: 8.13.0 严重性: Medium 发布日期: 2025-05-28T08:00:00.00Z 受影响的版本范围: - SEMVER: - 引入: 8.5.0 - 修复: 8.14.0 - GIT: - 引入: 5f78cf503c786a1d48d13528dde038bccfa6c67c - 修复: e1f65937a96a451292e9231339672797da86ecc5 受影响的版本列表: - 8.13.0, 8.12.1, 8.12.0, 8.11.1, 8.11.0, 8.10.1, 8.10.0, 8.9.1, 8.9.0, 8.8.0, 8.7.1, 8.7.0, 8.6.0, 8.5.0 贡献者: - Hiroki Kurosawa (发现者) - Stefan Eissing (修复开发者) 详细信息: - libcurl 支持 HTTPS 转移时服务器证书公钥的 pinning。由于遗漏，当使用 wolfSSL 作为 TLS 后端连接到 HTTP/3 的 QUIC 时，不执行此检查。文档说明该选项与 wolfSSL 兼容，但未指定它不适用于 QUIC 和 HTTP/3。由于 pinning 可以使传输成功，如果 pin 正确，用户可能会在不知情的情况下连接到冒充服务器。