CVE-2026-55614 in uhttpd
要約
〜によって VulDB • 2026年10月31日
uhttpdは小規模なHTTPサーバーです。パッチ未適用のリポジトリスナップショットでは、`client.c`内の`client_parse_header()`関数がヘッダー名を小文字に変換しますが、`Transfer-Encoding`の値に対して大文字と小文字を区別する`strcmp`を用いて`chunked`と比較しています。その結果、大文字と小文字が混在したtransfer-codingトークンが許可され、`r->transfer_chunked`が有効化されないという問題があります（transfer-codingトークンは本来大文字・小文字の区別がありません）。keep-alive接続において、`chunked`形式のPOSTボディは読み込まれたままになり、リクエスト形状のボディバイト列が別のHTTPリクエストとして解析されるため、HTTPリクエストスモギングや境界の非同期化（boundary desynchronization）を許可してしまいます。この問題はコミット ae015e099986ceace44975cb69629841a2d58d37 および 6641b050e5f7c7fd9ae92e8e119d6d6dfc6e9837 によって修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.