Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - urllib3はPython用のHTTPクライアントライブラリです。urllib3のストリーミングAPIは、大量のHTTP応答をチャンク単位で読み取ることで効率的に処理できるように設計されており、レスポンス全体を一度にメモリにロードするのではありません。urllib3はHTTPの「Content-Encoding」ヘッダー(例:'gzip', 'deflate', 'br', zstd)に基づいて復号または復凍を行うことができます。ストリーミングAPIを使用する場合、ライブラリは必要なバイトのみを解凍するため、部分的なコンテンツ消費が可能になります。バージョン 1.22 からバージョン 2.6.3以前から、HTTPリダイレクト応答の場合、ライブラリは応答本文全体を読み取り、接続を消耗し、内容を不必要に解凍していました。この復式化は、いかなる読み書きメソッドも呼び出す前に行われており、設定された読み出し制限は解凍データの量を制限しませんでした。その結果、減圧爆弾に対する安全策は存在しませんでした。悪意のあるサーバーがこれを悪用してクライアントの過剰なリソース消費を引き起こす可能性があります。アプリケーションやライブラリは、リダイレクトを無効化していない場合に「preload_content=False」を設定して信頼できないソースからのコンテンツをストリーミングすると影響を受けます。ユーザーは少なくともurllib3 v2.6.3にアップグレードすべきで、このバージョンではライブラリが「preload_content=False」時にリダイレクト応答の内容をデコードしません。すぐにアップグレードができない場合は、信頼できないソースへのリクエストに対して「redirect=False」を設定してリダイレクトを無効にしてください。(CVE-2026-21441)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-21441

high Nessus プラグイン ID 282456

バージョン 1.22