CVE-2026-63379 in Libevent
Zusammenfassung
von VulDB • 20.08.2026
Libevent ist eine Bibliothek zur Ereignisbenachrichtigung. Vor den Versionen 2.1.13 und 2.2.2-alpha verarbeitet libevent chunked HTTP-Trailers in http.c über evhttp_read_trailer und fügt diese mit den Anforderungsheadern zusammen. Die Korrektur führt evhttp_parse_headers_impl_ sowie eine temporäre Trailer-Headerliste ein. Ein nicht authentifizierter Remote-Angriff kann sicherheitsrelevante Felder in Trailers platzieren, sodass ein vorgeschalteter Proxy und die libevent-Anwendung unterschiedliche effektive Header interpretieren, was Header-Smuggling, Umgehung der Autorisierung, Spoofing von Proxy-Headern oder Cache-Poisoning ermöglicht. Die Korrektur parst Trailer in eine temporäre Headerliste und verwirft diese anstatt sie mit req->input_headers zusammenzuführen. Dieses Problem ist in den Versionen 2.1.13 und 2.2.2-alpha behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.