AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1793288504アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Libevent は、イベント通知ライブラリです。2.1.13 および 2.2.2-alpha より前のバージョンでは、libevent には http.c に 2 つのHTTP解析の脆弱性があります。 evhttp_decode_uri_internal パーセントエンコードされた %00 バイトをリテラル NULL 文字にデコードします。これにより、下流の C 文字列の操作がパスを切り捨て、異なる表現で実行される検証をバイパスする可能性があります。 evhttp_header_is_valid_value では、復帰文字または改行文字を含むヘッダー値での旧式の改行も受け入れます。 プロキシと libevent がヘッダーを異なって解釈し、ヘッダーインジェクションまたはアクセスコントロールバイパスが可能になります。CRLF ヘッダーの受け入れはバージョン 2.1.13 および 2.2.2-alpha で修正されていますが、レビューされたパッチでは、URI NUL 切り捨て状態は明確に修正されません。(CVE-2026-63385)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

AlmaLinux 9.2 [TuxCare] セキュリティ更新:libevent / libevent-devel / libevent-doc(ALMALINUX9.2:CLSA-2026:1793288504)

critical Nessus プラグイン ID 373743

バージョン 1.1