CVE-2026-63385
Təsvir
Libevent hadisələrin bildiriş kitabxanasıdır. 2.1.13 və 2.2.2-alpha versiyalarından əvvəl libevent-in http.c faylında iki HTTP analiz zəifliyi mövcuddur. evhttp_decode_uri_internal funksiyası faizlə kodlaşdırılmış %00 baytlarını hərfi NUL simvollarına çevirir ki, bu da sonrakı C sətir əməliyyatlarının yolu kəsməsinə və fərqli təmsil üzərində həyata keçirilən validasiyanın yan keçilməsinə səbəb ola bilər. evhttp_header_is_valid_value funksiyası həmçinin carriage return və ya line feed simvollarını ehtiva edən başlıq dəyərlərində köhnəlmiş sətir qatlanmasını (line folding) qəbul edir ki, bu da proksi serveri ilə libevent-in başlıqları fərqli şəkildə şərh etməsinə imkan verir və başlıq inyeksiyasına və ya giriş kontrolunun yan keçilməsinə yol açır. CRLF başlığının qəbulu 2.1.13 və 2.2.2-alpha versiyalarında düzəldilmişdir, lakin nəzərdən keçirilmiş yamalar URI NUL-kəsilmə şərtini tam şəkildə aradan qaldırmır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| libevent libevent | >= 2.2.0-alpha, < 2.2.2-alpha, < 2.1.13 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.