CVE-2025-66570 in cpp-httplib
要約
〜によって VulDB • 2026年09月06日
cpp-httplibは、C++11準拠の単一ファイル・ヘッダのみで構成されたクロスプラットフォーム対応のHTTP/HTTPSライブラリです。バージョン0.27.0より前では、攻撃者が制御可能なHTTPヘッダーがサーバー側のメタデータ、ログ記録、および認証判断に影響を与える脆弱性が存在します。攻撃者はREMOTE_ADDR、REMOTE_PORT、LOCAL_ADDR、LOCAL_PORTという名前のヘッダーを注入でき、これらはhttplib.h内のread_headers()（headers.emplace）によってリクエストヘッダのmultimapにパースされます。その後、サーバーはServer::process_request内で同じヘッダー名を使用して独自の内部メタデータを追加しますが、重複するエントリは消去されません。Request::get_header_valueはヘッダーキーに対して最初のエントリ（id == 0）を返すため、クライアント提供のヘッダーがサーバー挿入のヘッダーよりも先にパースされることにより、これらのヘッダー名を使用する下流コードは意図せず攻撃者が制御可能な値を利用してしまう可能性があります。影響を受けるファイル/場所：cpp-httplib/httplib.h（read_headers、Server::process_request、Request::get_header_value、get_header_value_u64）およびcpp-httplib/docker/main.cc（get_client_ip、nginx_access_logger、nginx_error_logger）。攻撃面：着信リクエスト内の攻撃者が制御可能なHTTPヘッダーがRequest.headers multimapおよび転送されたヘッダーを読み取るログ処理コードに流入し、IPスプーフィング、ログポイズニング、およびヘッダシャドウディングによる認証回避を可能にします。この脆弱性は0.27.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.