CVE-2026-63379
Təsvir
Libevent hadisələrin bildiriş kitabxanasıdır. 2.1.13 və 2.2.2-alpha versiyalarından əvvəl libevent, http.c faylındakı evhttp_read_trailer vasitəsilə hissələrə bölünmüş (chunked) HTTP treylerlərini emal edir və onları sorğu başlıqlarına birləşdirir. Düzəliş evhttp_parse_headers_impl_ funksiyasını və müvəqqəti treyler başlıq siyahısını təqdim edir. Autentifikasiya olunmamış uzaq hücumçu, treylerlərə təhlükəsizlik baxımından həssas sahələr yerləşdirərək yuxarı axın proksisinin (upstream proxy) və libevent tətbiqinin fərqli effektiv başlıqları şərh etməsini təmin edə bilər ki, bu da başlıqların qaçırtılmasına (header smuggling), avtorizasiyadan yan keçməyə, proksi-başlığının saxtalaşdırılmasına (proxy-header spoofing) və ya keş zəhərlənməsinə yol açır. Düzəliş treylerləri req->input_headers ilə birləşdirmək əvəzinə, onları müvəqqəti başlıq siyahısına analiz edir və silir. Bu problem 2.1.13 və 2.2.2-alpha versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| libevent libevent | < 2.1.13, >= 2.2.0-alpha, < 2.2.2-alpha | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.