Die Schwachstelle betrifft die Verbindungswiederverwendung in libcurl. Die Bibliothek hält bereits aufgebaute Verbindungen in einem Pool, um sie für weitere Übertragungen erneut zu nutzen, sofern die Konfiguration der neuen Anfrage zu der der bestehenden Verbindung passt. Bei diesem Abgleich wurden jedoch einige TLS-Einstellungen ausgelassen, die die gegenseitige Authentifizierung mit Client-Zertifikaten (mTLS) betreffen – insbesondere Optionen rund um den privaten Schlüssel. Dadurch galten Konfigurationen als übereinstimmend, die es tatsächlich nicht waren. Die Folge: libcurl verwendet eine zuvor aufgebaute Verbindung weiter, obwohl die geänderten mTLS-Einstellungen eine Wiederverwendung hätten verhindern müssen. Eine Übertragung wird dann über eine Verbindung abgewickelt, die mit anderen Client-Zertifikatsdaten authentifiziert wurde als vom Aufrufer vorgesehen. Betroffen sind Anwendungen, die libcurl mit Client-Zertifikaten nutzen und deren Einstellungen zwischen einzelnen Übertragungen wechseln.