CVE-2026-63379 in Libevent
要約
〜によって VulDB • 2026年08月20日
Libeventはイベント通知ライブラリです。バージョン2.1.13および2.2.2-alphaより前では、libeventはhttp.c内のevhttp_read_trailerを介してチャンク化されたHTTPトレイラーを処理し、それらをリクエストヘッダーにマージしていました。修正により、evhttp_parse_headers_impl_と一時的なトレイラヘッダリストが導入されました。認証されていないリモート攻撃者は、セキュリティ上重要なフィールドをトレイラー内に配置することで、アップストリームプロキシとlibeventアプリケーションが異なる有効なヘッダーとして解釈させることができ、これによりヘッダスミッシング、認可の回避、プロキシヘッダのスプーフィング、またはキャッシュポイズニングが可能になります。修正では、トレイラーを一時的なヘッダリストにパースし、req->input_headersへのマージではなく破棄するようになりました。この問題はバージョン2.1.13および2.2.2-alphaで修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.