CVE-2026-63379
Açıklama
Libevent bir olay bildirim kütüphanesidir. 2.1.13 ve 2.2.2-alpha sürümlerinden önce libevent, http.c içerisindeki evhttp_read_trailer aracılığıyla parçalı (chunked) HTTP fragmanlarını işler ve bunları istek başlıklarıyla birleştirir. Düzeltme, evhttp_parse_headers_impl_ fonksiyonunu ve geçici bir fragman başlık listesini getirir. Kimliği doğrulanmamış uzak bir saldırgan, güvenlik açısından hassas alanları fragmanlara yerleştirerek üst akış (upstream) proxy'sinin ve libevent uygulamasının farklı etkili başlıklar yorumlamasını sağlayabilir; bu durum başlık kaçakçılığına (header smuggling), yetkilendirme atlatmaya, proxy-başlık sahteciliğine veya önbellek zehirlemesine yol açabilir. Düzeltme, fragmanların req->input_headers ile birleştirilmesi yerine geçici bir başlık listesine ayrıştırılmasını ve ardından atılmasını sağlar. Bu sorun 2.1.13 ve 2.2.2-alpha sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| libevent libevent | < 2.1.13, >= 2.2.0-alpha, < 2.2.2-alpha | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.