Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Libevent は、イベント通知ライブラリです。2.1.13 および 2.2.2-alpha より前のバージョンでは、libevent には http.c に 2 つのHTTP解析の脆弱性があります。 evhttp_decode_uri_internal パーセントエンコードされた %00 バイトをリテラル NULL 文字にデコードします。これにより、下流の C 文字列の操作がパスを切り捨て、異なる表現で実行される検証をバイパスする可能性があります。 evhttp_header_is_valid_value では、復帰文字または改行文字を含むヘッダー値での旧式の改行も受け入れます。 プロキシと libevent がヘッダーを異なって解釈し、ヘッダーインジェクションまたはアクセスコントロールバイパスが可能になります。CRLF ヘッダーの受け入れはバージョン 2.1.13 および 2.2.2-alpha で修正されていますが、レビューされたパッチでは、URI NUL 切り捨て状態は明確に修正されません。(CVE-2026-63385)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-63385

critical Nessus プラグイン ID 338703

バージョン 1.5