La función name_parse en evdns.c de libevent, en versiones anteriores a 2.1.6-beta, contiene una lectura fuera de límites en la pila (CWE-125) gatillada por la variable label_len. Un atacante remoto puede explotarla sin autenticación, y el impacto concreto no está especificado en el aviso original. Con CVSS 9.8 y severidad CRITICAL según GitHub, es una falla de máximo riesgo teórico.
En la práctica, Shodan no tiene hosts indexados con este CVE detectado, por lo que la exposición real en internet parece nula hoy. Aun así, EPSS estima un 6,7% de probabilidad de explotación en los próximos 30 días (percentil 94%), lo que la mantiene relevante para equipos que usan libevent en servicios de red. Afecta a libevent y a Debian Linux; se recomienda actualizar a 2.1.6-beta o superior.
| CVE | CVE-2016-10195 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 6.7% en 30 días (percentil 94) |
| CWE | CWE-125 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |