高吞吐代理用戶端常在請求完成後銷毀 easy handle，同時把底層 TLS 連線留在池中重用。這能降低握手成本，卻也帶來必須說清楚的問題：哪些物件必須與池化連線保持相同的生命週期？
本指南把問題轉化為可重複測試。依據 curl 專案於 2026 年 9 月 2 日發布的 CVE-2026-80229 安全公告，在使用 OpenSSL 3 或更新版本並設定 Provider 時，與 easy handle 關聯的程式庫上下文可能先被釋放，而仍存活的 TLS 連線繼續引用它；後續 I/O、重用或握手後操作可能觸發堆積記憶體釋放後使用。
測試僅適用於獲授權的預備環境，不需要高頻流量、繞過行為或存取無關網站。
先確認精確範圍
不要把所有 curl 部署都視為受影響。逐項確認：
- 工作負載使用來自受影響建置的 libcurl 或 curl 命令列工具；
- TLS 後端為 OpenSSL 3 或更新版本，而非不支援 Provider 的 OpenSSL 分支；
- 應用程式確實設定了 OpenSSL Provider；
- multi 介面或其他重用模式允許 TLS 連線晚於原始 easy handle 銷毀；
- 該連線之後仍發生 I/O、重用或握手後處理。
公告列出的受影響版本為 curl 8.14.0 至 8.21.0，curl 8.22.0 及更新版本已修復；維護分支中的 8.20.1、8.16.1 與 8.14.2 亦包含修復。必須從實際工作程序確認執行時載入版本，不能只查看相依清單。
在送出流量前畫清所有權
為 Provider 設定與 OpenSSL 程式庫上下文、發起請求的 easy handle、multi handle 與連線快取、活動 TLS 連線、重用連線的後續 easy handle，以及工作程序關閉階段建立生命週期圖。
替每個物件分配不含敏感資訊的診斷 ID，記錄建立、綁定、解除、重用和銷毀事件。不得記錄 Provider 祕密、代理密碼、驗證標頭、Cookie、請求本文或私人目標網址。
可搭配代理 TLS 信任設定隔離指南避免不同信任或 Provider 設定進入同一連線池；啟用多工時，再用HTTP/2 代理連線重用稽核核對連線歸屬。
建立最小化授權測試台
準備組織自有 HTTPS 端點與一次性用戶端程序。端點只回傳小型靜態內容並允許連線重用；測試維持低併發，便於把事件關聯至具體物件。
至少準備四組設定：受影響執行時搭配 Provider 並啟用重用、相同環境但禁止重用、已修復執行時搭配 Provider 並啟用重用，以及已修復執行時不使用自訂 Provider 的對照組。各組使用相同代理路線、端點、標頭和回應，每次只改變一個生命週期變數。
穿過生命週期邊界
對每個重用情境執行：
- 初始化 Provider 設定與 multi handle；
- 建立 easy handle A，完成一次獲授權 HTTPS 請求；
- 確認連線符合重用條件；
- 在 multi 連線快取仍存活時移除並銷毀 A；
- 建立具有相同信任與代理設定的 easy handle B；
- 讓 B 明確重用原連線完成第二次請求；
- 等待正常握手後處理結束；
- 依所有權順序關閉連線池與 Provider 上下文；
- 確認每個物件只銷毀一次；
- 在隔離 CI 中以除錯或記憶體安全建置重複測試。
記錄結果碼、執行時 curl 與 OpenSSL 版本、Provider 類型、連線 ID、新建或重用狀態、TLS 版本、代理路線類型及清理結果。Provider 類型只使用 default、FIPS 或組織管理等安全標籤，不公開路徑與設定祕密。
比較直連與代理路徑
以相同矩陣測試獲授權直連、一條 HTTP 代理路線及一條用戶端正式支援的 HTTPS CONNECT 路線。代理可能改變建連與重用頻率，但不會修復本機物件所有權錯誤。
若某路線每次都新建連線，應記錄「未到達重用路徑」，不能記為通過。有效結論必須區分「觀察到安全行為」與「觸發條件未覆蓋」。
加入受控失敗情境
基線穩定後，每次只加入一個事件：伺服器在重用前關閉閒置連線、取消第二個請求、代理通道在首次回應後逾時、短暫閒置後重用、啟用 HTTP/2 多工、帶閒置連線關閉程序，或在兩次請求之間變更 Provider 與信任設定。
最後一種通常應形成獨立連線池邊界。跨不相容設定重用連線，會同時破壞安全假設與診斷結論。
升級與驗收
首選修復是升級至 curl 8.22.0 或更新版本，或使用明確包含相關修補的供應商建置。升級後要重新啟動長生命週期程序，避免舊程式庫與舊連線繼續留存。
若暫時無法升級，公告提供的緩解方式是在使用 Provider 的傳輸上設定 CURLOPT_FORBID_REUSE。這會降低連線池效率，只應視為暫時控制；需限定範圍、量測握手與延遲成本，並指定升級負責人和期限。
發布時記錄實際執行版本，先在代表性代理路線進行小流量驗證，重跑「銷毀 A、由 B 重用」序列，比較錯誤、當機、記憶體檢測結果、握手次數與重用率，再分批重新啟動其餘程序。
驗收清單
- [ ] 從實際服務程序擷取 curl 與 OpenSSL 版本。
- [ ] 已確認或排除 OpenSSL Provider 使用。
- [ ] 已記錄 multi 介面與連線快取所有權。
- [ ] easy handle A 先於池化連線銷毀。
- [ ] easy handle B 明確重用了該連線。
- [ ] 已測試直連和獲准代理路線。
- [ ] 不相容信任或 Provider 設定使用獨立連線池。
- [ ] 除錯或記憶體檢測未發現相關生命週期問題。
- [ ] 固定執行時為 curl 8.22.0 或已驗證的修補建置。
- [ ] 暫時禁止重用措施有負責人和截止日期。
- [ ] 日誌不含憑證與敏感負載。
常見問題
所有使用 OpenSSL 的 curl 用戶端都受影響嗎？
不是。狹窄觸發條件涉及 OpenSSL 3 Provider 設定，以及原始 easy handle 銷毀後仍存活的連線。必須核對建置與實際生命週期。
輪換住宅代理 IP 能消除風險嗎？
不能。輪換改變路線或出口身分，相關物件所有權位於本機 curl 與 TLS 程序內部。
停用連線重用是永久修復嗎？
它是針對 Provider 傳輸的暫時緩解，會增加建連成本。升級至已修復執行時才是長期方案。
來源與合規說明
內部研究依據：curl 專案安全公告《OpenSSL provider use-after-free》，CVE-2026-80229，發布於 2026 年 9 月 2 日；curl 8.22.0 發布資訊。外部研究網址僅保存在內部營運紀錄中，本文不含外部連結。
僅測試您擁有或獲授權評估的系統、代理帳戶、目標與網路，並遵守目標條款、供應商限制、隱私要求及組織變更流程。
