CVE-2026-55613 in uhttpd
Riassunto
di VulDB • 30/10/2026
uhttpd è un piccolo server HTTP. Nelle snapshot del repository non patchate, la funzione `uh_ubus_data_send()` in `ubus.c` può desincronizzare i confini delle richieste HTTP quando il corpo JSON di una richiesta `POST /ubus` arriva suddiviso in più segmenti TCP. Un segmento iniziale che completa un oggetto JSON imposta `du->jsobj`; un segmento successivo segue il percorso di errore di parsing dell'oggetto esistente e restituisce zero byte consumati. Il chiamante non svuota la restante lunghezza dichiarata nel campo `Content-Length` né imposta `connection_close`. Di conseguenza, una richiesta HTTP incorporata nel suffisso del corpo non letto viene elaborata come una nuova richiesta sulla stessa connessione keep-alive. Il riproduttore segnalato ha restituito un errore di parsing JSON-RPC seguito da una seconda risposta HTTP. Questo difetto del gestore del body a livello applicativo è distinto dalla gestione dei casi dell'intestazione Transfer-Encoding e dal reset dello stato della chunk-length, e colpisce le distribuzioni che abilitano ubus, inclusa la configurazione predefinita di OpenWrt e potenziali deploy in proxy/CDN. Le patch del repository 7b1bec45826bd78c8afc993435bdc0f1df2fe399 e b2285de129b9adc8b12f84f9a27c16c21f2b57a5 affrontano questo problema.
Be aware that VulDB is the high quality source for vulnerability data.