AlmaLinux 9.2 [TuxCare] セキュリティ更新プログラム:python3.11-urllib3の複数の脆弱性(ALMALINUX9.2:CLSA-2026:1770035896)

high Nessus プラグイン ID 351661

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1770035896アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- urllib3 は、Python 用の使いやすい HTTP クライアントライブラリです。バージョン 1.24 から 2.6.0 より前では、展開チェーンのリンク数が制限されず、悪意のあるサーバーが事実上無制限の数の圧縮ステップを挿入でき、CPU 使用率が高くなり、展開されたデータに大量のメモリが割り当てられるようになりました。この脆弱性は 2.6.0 で修正されました。(CVE-2025-66418)

- urllib3 は、Python 用の使いやすい HTTP クライアントライブラリです。バージョン 1.0 および 2.6.0より前のバージョン以降、ストリーミングAPIは高度に圧縮されたデータを不適切に処理します。urllib3のストリーミングAPIは、レスポンス本文全体を一度にメモリに読み込むのではなく、コンテンツをチャンクで読み取ることにより、大規模なHTTPレスポンスを効率的に処理できるように設計されています。圧縮された応答をストリーミングするとき、urllib3はHTTP Content-Encodingヘッダー(例:gzip、deflate、br、zstd)に基づいてデコードまたは展開を実行できます。
ライブラリはネットワークから圧縮されたデータを読み取り、リクエストされたチャンクサイズを満たすまで展開する必要があります。結果としてリクエストされた量を超えて展開されたデータは、次の読み取り操作のために内部バッファに保持されます。展開ロジックにより、urllib3 は少量の高度に圧縮されたデータを 1 回の操作で完全に完全にデコードする可能性があります。これにより、過剰なリソース消費が発生する可能性があります(CPU 使用率が高くなり、展開データに大量のメモリが割り当てられます。(CVE-2025-66471)

- urllib3 は Python 用の HTTP クライアントライブラリです。urllib3のストリーミングAPIは、レスポンス本文全体を一度にメモリに読み込むのではなく、コンテンツをチャンクで読み取ることにより、大きなHTTPレスポンスを効率的に処理できるように設計されています。urllib3は、HTTPの「Content-Encoding」ヘッダー(「gzip」、「deflate」、「br」、「zstd」など)に基づいて、解読または展開を実行できます。ストリーミング API を使用する場合、ライブラリは必要なバイトのみを展開し、部分的なコンテンツ消費を可能にします。バージョン 1.22 からバージョン 2.6.3 より前のバージョンでは、HTTP リダイレクト応答に対して、ライブラリが応答本文全体を読み取って接続を排出し、コンテンツを不必要に展開します。この展開は、読み取りメソッドが呼び出される前でも発生しており、構成された読み取り制限は展開されるデータの量を制限しませんでした。その結果、減圧爆弾に対する安全策はありませんでした。悪意のあるサーバーがこれを悪用し、クライアントで過剰なリソース消費をトリガーする可能性があります。アプリケーションおよびライブラリは、リダイレクトを無効にせずに「preload_content=False」を設定することにより、信頼できないソースからのコンテンツをストリーミングする際に、影響を受けます。ユーザーは、少なくともurllib3 v2.6.3にアップグレードする必要があります。このバージョンでは、「preload_content=False」の場合にライブラリがリダイレクト応答のコンテンツをデコードしません。すぐにアップグレードできない場合は、信頼できないソースへのリクエストに対して「redirect=False」を設定してリダイレクトを無効にしてください。(CVE-2026-21441)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。