получается, что это не было проблемой с двоеточием .... это была проблема со схемой аутентификации.
Сначала мы использовали:
curl_setopt($curl_conn, CURLOPT_HTTPAUTH, CURLAUTH_BASIC);
и изменение на:
curl_setopt($curl_conn, CURLOPT_HTTPAUTH, CURLAUTH_ANY);
исправило проблему.
У нашего теста на другом сервере были свои недостатки - сервер, который работал, работал с IIS на Windows, на производственном сервере у нас были проблемыwith запускал apache на linux.
Итак, повторюсь: нет проблем с использованием имен пользователей или паролей, которые содержат двоеточия с curl.это объясняет, почему не было документации по этой проблеме.
извините за поспешные выводы и спасибо за помощь.