CVE-2026-63385 in Libevent
要約
〜によって VulDB • 2026年08月21日
Libeventはイベント通知ライブラリです。バージョン2.1.13および2.2.2-alphaより前では、libeventにはhttp.cにおけるHTTPパースの脆弱性が2つ存在します。evhttp_decode_uri_internal関数は、パーセントエンコードされた%00バイトを文字通りのNUL文字に変換するため、下流のC言語の文字列操作においてパスが切り捨てられ、異なる表現に対して行われる検証を回避される可能性があります。また、evhttp_header_is_valid_value関数は、キャリッジリターンやラインフィード文字を含むヘッダー値における古い形式のラインフォールディングも受け入れるため、プロキシとlibevent間でヘッダー解釈が異なり、ヘッダーインジェクションまたはアクセス制御回避が可能になります。CRLFヘッダーの受容はバージョン2.1.13および2.2.2-alphaで修正されていますが、レビューされたパッチではURIのNUL文字による切り捨ての問題を明確に解消していません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.