CVE-2026-63382 in Libevent
요약
\~에 의해 VulDB • 2026. 08. 20.
Libevent는 이벤트 알림 라이브러리입니다. 버전 2.1.13 및 2.2.2-alpha 이전의 libevent evhttp 파서(http.c)는 중복된 Transfer-Encoding 헤더, 쉼표로 구분된 Transfer-Encoding 값, 그리고 청크 기반 프레임워크 내의 비어 있는 줄 바꿈을 일관되지 않게 처리합니다. evhttp_find_header는 첫 번째 헤더만 선택할 수 있으며, evhttp_check_transfer_encoding_ 함수가 부재하여 이전의 전체 문자열 비교 방식이 'chunked'로 끝나는 유효한 목록을 인식하지 못합니다. 또한 evhttp_handle_chunked_read은 EVBUFFER_EOL_CRLF_STRICT 대신 EVBUFFER_EOL_CRLF를 사용하여 비어 있는 LF 청크 종료 기호도 허용합니다. libevent가 동일한 요청을 다르게 프레임하는 프록시 뒤에 배포된 경우, 인증되지 않은 원격 공격자가 요청 경계를 동기화 불일치 상태로 만들어 두 번째 요청을 smuggle(은닉 전송)할 수 있으며, 이는 접근 제어 우회 또는 캐시 오염으로 이어질 수 있습니다. 이 문제는 버전 2.1.13 및 2.2.2-alpha에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.