Amazon Linux 2python-urllib3、 --advisory ALAS2-2025-3110ALAS-2025-3110

high Nessus プラグイン ID 281822

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている python-urllib3 のバージョンは、1.25.9-1 より前です。したがって、ALAS2-2025-3110 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

urllib3 は、Python 用の使いやすい HTTP クライアントライブラリです。バージョン 1.24 および 2.6.0より前のから、展開チェーンのリンク数に制限がなくなり、悪意のあるサーバーがほぼ無制限の圧縮ステップを挿入し、展開されたデータのために高い CPU 使用率と大量のメモリ割り当てを引き起こす可能性があります。この脆弱性は 2.6.0 で修正されました。(CVE-2025-66418)

urllib3 は、Python 用の使いやすい HTTP クライアントライブラリです。バージョン 1.0 および 2.6.0より前のから、Streaming API は高度に圧縮されたデータを不適切に処理します。 urllib3 のストリーミング API は、応答本体全体を一度にメモリにロードするのではなく、チャンクのコンテンツを読み取ることで、大きな HTTP 応答を効率的に処理するように設計されています。圧縮された応答をストリーミングするとき、urllib3はHTTP Content-Encodingヘッダー例gzip、deflate、br、zstdに基づいてデコードまたは展開を実行できます。
ライブラリは、ネットワークから圧縮されたデータを読み取り、リクエストされたチャンクサイズを満たすまで展開する必要があります。その結果リクエストされた量を超える展開データは、次の読み取り操作のために内部バッファに保持されます。展開ロジックにより、urllib3 は 1 回の操作で少量の高度に圧縮されたデータを完全にデコードできる可能性があります。これにより、リソースが過剰に消費される可能性があります展開されたデータに対して高い CPU 使用率と大量のメモリ割り当てが発生しますCVE-2025-66471

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。