CVE-2026-63382 in Libevent
Zusammenfassung
von VulDB • 20.08.2026
Libevent ist eine Bibliothek zur Ereignisbenachrichtigung. Vor den Versionen 2.1.13 und 2.2.2-alpha verarbeitet der evhttp-Parser in http.c von libevent doppelte Transfer-Encoding-Headers, durch Kommas getrennte Transfer-Encoding-Werte sowie einfache Zeilenumbrüche (bare line feeds) im chunked-Framing inkonsistent. Die Funktion `evhttp_find_header` wählt nur den ersten Header aus; die Funktion `evhttp_check_transfer_encoding_` war nicht vorhanden, sodass der vorherige Vergleich des gesamten Strings keine gültigen Listen erkennt, die mit „chunked“ enden, und `evhttp_handle_chunked_read` verwendet `EVBUFFER_EOL_CRLF` anstelle von `EVBUFFER_EOL_CRLF_STRICT`, wodurch einfache LF-Chunk-Terminatoren akzeptiert werden. Wenn libevent hinter einem Proxy eingesetzt wird, der dieselbe Anfrage unterschiedlich framet, kann ein nicht authentifizierter Angreifer aus der Ferne die Grenzen von Anfragen desynchronisieren und eine zweite Anfrage einschmuggeln, was potenziell Zugriffskontrollen umgehen oder Caches vergiften könnte. Dieses Problem wurde in den Versionen 2.1.13 und 2.2.2-alpha behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.