したがって、ALAS2023-2026-2090 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Pythonのアプリケーションにおける国際化ドメイン名(IDNA)は、アプリケーション内の国際化ドメイン名(IDNA)とUnicode IDNA互換性処理のサポートを提供します。3.15 より前のバージョンでは、「\u0660 * N」や「\u30fb * N + \u6f22」などのペイロードは、長さ拒否の前に「valid_contexto」関数を利用します。「N」の値が高い場合、処理に長い時間がかかります。これは CVE-2024-3651 と同じ問題ですが、2024 年の最初の修正は完全な修正ではありませんでした。「idna.encode()」関数に対する特別に細工された引数は、大量のリソースを消費する可能性があります。これにより、サービス拒否が引き起こされる可能性があります。バージョン 3.14 以降、この関数は、リソース消費を最小限に抑えるために、さらなる処理の前にできるだけ早く長い入力を拒否します。バージョン 3.15 では、このアプローチは、あまり使用されない代替関数(つまり、ラベルごとの変換およびコーデックのサポート)に拡張されました。回避策が利用可能です。ドメイン名の長さは 253 文字を超えることはできません。ドメインを「idna.encode()」関数に渡す前にこの長さ制限が実施されていれば、大きなリソースを消費することはなくなるはずです。これは、通常の使用法では発生しない任意の大きな入力によって引き起こされますが、上位レベルのアプリケーションによる予備的な入力検証がないと仮定して、ライブラリに渡される可能性があります。(CVE-2026-45409)

    urllib3 バージョン 2.6.3 は、Brotli サポートを使用する際に、ストリーミング API での展開爆弾のバイパスに脆弱です(「preload_content=False」)。この問題は、CVE-2025-66471を軽減するためにバージョン 2.6.0 で導入された「max_length」保護をバイパスする「response.py」の 3 つの独立したコードパスが原因で発生します。具体的には、「read()」のバッファ演算によりマイナスの「max_length」値が生成される可能性があり、「flush_decoder」が無条件に「max_length」を「-1」にオーバーライドし、「_flush_decoder()」が制限をまったく渡さず、デフォルトでは無制限に展開されます。これにより、悪意のある HTTP サーバーが、大きなペイロードをメモリに展開することでメモリ不足(OOM)状態を発生させ、サービス拒否(DoS)を引き起こす可能性があります。この脆弱性は、urllib3 2.6.3 および Brotli 1.2.0 に影響を及ぼし、「requests」または「urllib3」を使用して信頼できないソースからコンテンツをストリーミングするアプリケーションおよびライブラリにも影響を及ぼします。(CVE-2026-9375)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : python3.11-pip、python3.11-pip-wheel (ALAS2023-2026-2090)

medium Nessus プラグイン ID 341860

バージョン 1.1