Amazon Linux 2python3-urllib3、 --advisory ALAS2-2026-3127ALAS-2026-3127

high Nessus プラグイン ID 294890

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている python3-urllib3 のバージョンは 1.25.6-2より前のです。したがって、ALAS2-2026-3127 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

urllib3 は、Python 用の使いやすい HTTP クライアントライブラリです。「ProxyManager」で urllib3 のプロキシサポートを使用する場合、想定通り、「Proxy-Authorization」ヘッダーが設定済みのプロキシにのみ送信されます。
ただし、urllib3 のプロキシサポートを使用*せず*に HTTP リクエストを送信すると、リクエストが転送プロキシまたはトンネリングプロキシを使用しても効果がないにも関わらず、誤って「Proxy-Authorization」ヘッダーを設定する可能性があります。このような場合、urllib3 は「Proxy-Authorization」HTTP ヘッダーを認証情報を伝送するものとして扱わないため、クロスオリジンリダイレクトでヘッダーを削除しません。これは可能性が非常に低いシナリオであるため、ほぼすべてのユーザーにとってこの脆弱性の深刻度は低いと考えられます。用心のために、urllib3 はクロスオリジンリダイレクト中に自動的に「Proxy-Authorization」ヘッダーを取り除き、ユーザーが偶然にこれを行う可能性を回避します。ユーザーは「Proxy-Authorization」ヘッダーを安全に処理するために、urllib3 のプロキシサポートを使用するか、自動リダイレクトを無効にする必要がありますが、適切なアプローチを使用していないユーザーをさらに保護するために、デフォルトでヘッダーを削除することにしました。このアドバイザリの影響を受ける使用状況の数は少ないと考えられます。この脆弱性を悪用するには、次のすべてが当てはまる必要があります。1. urllib3 のビルトインプロキシサポートを使用せずに、「Proxy-Authorization」ヘッダーを設定する。2. HTTP リダイレクトを無効にしない。3. HTTPS オリジンサーバーを使用していないか、プロキシまたはターゲットのオリジンを悪意のあるオリジンにリダイレクトする。ユーザーは、バージョン 1.26.19 またはバージョン 2.2.2 に更新することが推奨されています。アップグレードできないユーザーは、urllib3 の「ProxyManager」で「Proxy-Authorization」ヘッダーを使用したり、リクエストの送信時に「redirects=False」を使用して HTTP リダイレクトを無効にしたり、緩和策として「Proxy-Authorization」ヘッダーを使用しなかったりする可能性があります。(CVE-2024-37891)

urllib3 は、Python 用の使いやすい HTTP クライアントライブラリです。バージョン 1.24 および 2.6.0より前のから、展開チェーンのリンク数に制限がなくなり、悪意のあるサーバーがほぼ無制限の圧縮ステップを挿入し、展開されたデータのために高い CPU 使用率と大量のメモリ割り当てを引き起こす可能性があります。この脆弱性は 2.6.0 で修正されました。(CVE-2025-66418)

urllib3 は、Python 用の使いやすい HTTP クライアントライブラリです。バージョン 1.0 および 2.6.0より前のから、Streaming API は高度に圧縮されたデータを不適切に処理します。 urllib3 のストリーミング API は、応答本体全体を一度にメモリにロードするのではなく、チャンクのコンテンツを読み取ることで、大きな HTTP 応答を効率的に処理するように設計されています。圧縮された応答をストリーミングするとき、urllib3はHTTP Content-Encodingヘッダー例gzip、deflate、br、zstdに基づいてデコードまたは展開を実行できます。
ライブラリは、ネットワークから圧縮されたデータを読み取り、リクエストされたチャンクサイズを満たすまで展開する必要があります。その結果リクエストされた量を超える展開データは、次の読み取り操作のために内部バッファに保持されます。展開ロジックにより、urllib3 は 1 回の操作で少量の高度に圧縮されたデータを完全にデコードできる可能性があります。これにより、リソースが過剰に消費される可能性があります展開されたデータに対して高い CPU 使用率と大量のメモリ割り当てが発生しますCVE-2025-66471

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。