CVE-2026-63385
Açıklama
Libevent bir olay bildirim kütüphanesidir. 2.1.13 ve 2.2.2-alpha sürümlerinden önce, libevent'in http.c dosyasında iki HTTP ayrıştırma zayıflığı bulunmaktadır. evhttp_decode_uri_internal, yüzde ile kodlanmış %00 baytlarını gerçek NUL karakterlerine çözerek, alt akıştaki C dize işlemlerinin bir yolu kesmesine ve farklı bir gösterim üzerinde gerçekleştirilen doğrulamanın atlatılmasına neden olabilir. evhttp_header_is_valid_value ayrıca, satır başı veya satır besleme karakterleri içeren başlık değerlerinde artık kullanılmayan satır katlamayı kabul ederek, bir proxy ile libevent'in başlıkları farklı yorumlamasına ve başlık enjeksiyonuna veya erişim denetimi atlatmasına olanak tanır. CRLF başlık kabulü 2.1.13 ve 2.2.2-alpha sürümlerinde düzeltilmiştir, ancak incelenen yamalar URI NUL-kesme durumunu açıkça gidermemektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| libevent libevent | >= 2.2.0-alpha, < 2.2.2-alpha, < 2.1.13 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.