Twisted 開発者による報告：

無効な文字を含むメソッドやURLを使用して呼び出されると、twisted.web.clientのすべてのHTTPクライアントは、ValueErrorを発生させるようになりました。これにより、 CVE-2019-12387が緩和されます。この脆弱性を報告してくれたAlex Brasetvik氏に感謝の意を表します。

HTTP/2サーバーの実装は、コントロールフレームメッセージでTCPフローコントロールを強制し、応答を読み取らずに無効なデータを送信するクライアントをタイムアウトします。これにより、CVE-2019-9512（Ping Flood）、CVE-2019-9514（Reset Flood）、CVE-2019-9515（Settings Flood）が終了します。
Jonathan Looney氏およびPiotr Sikora氏に感謝の意を表します。

twisted.web.httpは、いくつかのリクエストスマグリング攻撃の対象でした。
複数のContent-Lengthヘッダーを持つリクエストが許可され（CVE-2020-10108、これを報告したBishop FoxのJake Miller氏とZeddYu Lu氏に感謝の意を表します）、400で失敗しました。 Content-LengthヘッダーとTransfer-Encodingヘッダーを持つリクエストが最初のヘッダーを遵守し（CVE-2020-10109、これを報告したBishop FoxのJake Miller氏に感謝の意を表します）、400で失敗しました。 Transfer-Encodingヘッダーに「chunked」および「identity」（ZeddYu Lu氏に感謝の意を表します）以外の値があるリクエストが許可され、400で失敗しました。

検出

FreeBSD：py-twisted -- 複数の脆弱性（9fbaefb3-837e-11ea-b5b4-641c67a117d8）（Ping Flood）（Reset Flood）（Settings Flood）

critical Nessus プラグイン ID 135883

バージョン 1.3