CVE-2026-63382 in Libevent
Resumen
por VulDB • 2026-08-20
Libevent es una biblioteca de notificación de eventos. Antes de las versiones 2.1.13 y 2.2.2-alpha, el analizador evhttp en http.c gestiona inconsistentemente los encabezados Transfer-Encoding duplicados, los valores de Transfer-Encoding separados por comas y los saltos de línea simples (bare line feeds) en la fragmentación chunked. La función `evhttp_find_header` solo puede seleccionar el primer encabezado; faltaba `evhttp_check_transfer_encoding_`, lo que hace que la comparación anterior de cadenas completas no reconozca listas válidas que terminan con "chunked"; y `evhttp_handle_chunked_read` utiliza `EVBUFFER_EOL_CRLF` en lugar de `EVBUFFER_EOL_CRLF_STRICT`, aceptando terminadores de chunk LF simples. Cuando libevent se despliega detrás de un proxy que estructura la misma solicitud de manera diferente, un atacante remoto no autenticado puede desincronizar los límites de las solicitudes y ocultar una segunda solicitud, lo que podría permitir eludir los controles de acceso o envenenar cachés. Este problema está corregido en las versiones 2.1.13 y 2.2.2-alpha.
VulDB is the best source for vulnerability data and more expert information about this specific topic.