リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1806-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - バージョン0.18.0より前のhttplib2では、「httplib2.Http.request()」のURIのエスケープされていない部分を制御している攻撃者が、リクエストヘッダーや本文を変更したり、追加の非表示リクエストを同じサーバーに送信したりする可能性があります。この脆弱性は、エスケープを使用した正しいurllib構築とは対照的に、文字列連結によって構築されたuriでhttplib2を使用するソフトウェアに影響を与えます。これは0.18.0で修正されました。
    (CVE-2020-11078)

  - httplib2 は、Python 用の包括的な HTTP クライアントライブラリです。バージョン 0.19.0 より前の httplib2 では、www-authenticate ヘッダーの長い一連の \xa0 文字で応答する悪意のあるサーバーが、そのサーバーにアクセスする httplib2 クライアントのサービス拒否 (ヘッダーの解析中の CPU 書き込み) を引き起こす可能性があります。これは、pyparsing ライブラリを使用する auth ヘッダー解析の新しい実装を含むバージョン 0.19.0 で修正されています。(CVE-2021-21240)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

この python-httplib2 用の更新プログラムでは、次の問題が修正されています。

この更新には、セキュリティ修正が含まれます。

  - CVE-2021-21240: 悪意のあるヘッダーによる正規表現のサービス拒否を修正しました (bsc#1182053)。

  - CVE-2020-11078: 攻撃者がリクエストヘッダーと本文を変更する可能性がある問題を修正しました (bsc#1171998)。

この更新には、非セキュリティの修正が含まれています。

  - SLE の 0.19.0 への更新 (bsc#1182053、CVE-2021-21240)

  - 0.19.0 への更新:

  - auth: regexp の代わりに pyparsing を使用してヘッダーを解析します

  - auth: WSSE トークンはバイトではなく文字列である必要があります

  - 0.18.1への更新: (bsc#1171998、CVE-2020-11078)

  - pip ビルド分離バグの明示的なビルドバックエンドの回避策

  - 重要なセキュリティの脆弱性 CWE-93 CRLF インジェクション URI でのスペース、CR、LF 文字の ％xx 引用を強制します。

  - ソースディストリビューションのテストスイートを出荷します

  - 0.17.1 への更新

  - python3: no_proxy が https でチェックされていませんでした

  - 機能: Http().redirect_codes が設定され、follow(_all) _redirects チェック後に機能します。これにより、リダイレクトのセマンティクスなしで 308 応答を使用する古い gcloud ライブラリに対して、1 行の回避策が可能になります。

  - 重要なキャッシュ無効化の変更、307 keep メソッドの修正、308 リダイレクトの追加

  - proxy: pysocks と互換性のある str としてのユーザー名 / パスワード

  - python2: connect() エラー処理の回帰

  - パスワード保護された証明書ファイルのサポートを追加します

  - 機能: Http.close() による永続的な接続と機密データの消去

  - 0.14.0 に更新します:

  - Python3: str user/pass を伴う PROXY_TYPE_SOCKS5 により TypeError が発生しました

  - 0.13.1 0.13.1 へのバージョン更新

  - Python3: no_proxy https://github.com/httplib2/httplib2/pull/140 0.13.0 を使用します 

  - TLS の最大 / 最小バージョン https://github.com/httplib2/httplib2/pull/138 0.12.3 の設定を許可します

  - ライブラリに変更はありません。py3 ホイールを配布します。 0.12.1

  - ソケットタイムアウトをキャッチし、デッド接続をクリアします https://github.com/httplib2/httplib2/issues/18 https://github.com/httplib2/httplib2/pull/111

  - Python 3.7 を公式にサポート ( パッケージのメタデータ) https://github.com/httplib2/httplib2/issues/123 0.12.0

  - Python 3.3 のサポートをドロップします

  - 環境 HTTPLIB2_CA_CERTS または certifi https://github.com/httplib2/httplib2/pull/117 からの ca_certs

  - 空でないユーザー / パスを持つ PROXY_TYPE_HTTP が必要な TypeError: バイトを増大させました https://github.com/httplib2/httplib2/pull/115

  - http: 443->https の回避策 https://github.com/httplib2/httplib2/issues/112 を元に戻します 

  - 接続プールの読み取り競合を排除します https://github.com/httplib2/httplib2/pull/110

  - cache: より強力な safename https://github.com/httplib2/httplib2/pull/101 0.11.3

  - 変更はありません。Travis の自動リリース状態を修正した後に 0.11.2 を再アップロードするだけです。 0.11.2

  - proxy: py3 NameError ベース文字列 https://github.com/httplib2/httplib2/pull/100 0.11.1

  - HTTP(S)ConnectionWithTimeout AttributeError proxy_info を修正します https://github.com/httplib2/httplib2/pull/970.11.0

  - DigiCert Global Root G2 シリアル 033af1e6a711a9a0bb2864b11d09fae5 を追加します https://github.com/httplib2/httplib2/pull/91

  - python3 プロキシのサポート https://github.com/httplib2/httplib2/pull/90

  - no_proxy 環境値がカンマで終わる場合、プロキシは使用されません https://github.com/httplib2/httplib2/issues/11

  - socks5 プロキシを使用する UnicodeDecodeError を修正します https://github.com/httplib2/httplib2/pull/64

  - proxy_info_from_url の NO_PROXY env var を尊重します https://github.com/httplib2/httplib2/pull/58

  - NO_PROXY=bar が foobar に一致していました (ドット区切り文字のないサフィックス)。新しい動作は curl/wget に一致します。

  - no_proxy=foo.bar は、正確なホスト名の一致に対してのみプロキシをスキップします

  - no_proxy=.wild.card は、any.subdomains.wild.card のプロキシをスキップします https://github.com/httplib2/httplib2/issues/94

  - Content-Encoding のバグ修正: deflate https://stackoverflow.com/a/22311297

  - 削除されたパッチ

  - certifi パッチの削除: httplib2 が certifi の使用を開始し、これはすでに別のパッチによりシステム証明書バンドルを使用するように変更されています。

この更新はSUSEからインポートされました: SLE-15: 更新プロジェクトを更新します。

リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージには、RHSA-2021：2116のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - python-httplib2: 攻撃者によるCRLFインジェクションがhttplib2.Http.request関数のURIのエスケープされていない部分を制御しました（CVE-2020-11078）

  - python-httplib2: 悪意のあるヘッダーによる正規表現のサービス拒否（CVE-2021-21240）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - httplib2 は、Python 用の包括的な HTTP クライアントライブラリです。バージョン 0.19.0 より前の httplib2 では、www-authenticate ヘッダーの長い一連の \xa0 文字で応答する悪意のあるサーバーが、そのサーバーにアクセスする httplib2 クライアントのサービス拒否 (ヘッダーの解析中の CPU 書き込み) を引き起こす可能性があります。これは、pyparsing ライブラリを使用する auth ヘッダー解析の新しい実装を含むバージョン 0.19.0 で修正されています。(CVE-2021-21240)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのDebian 11ホストには、dla-4747アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4747-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emmanuel Arias 2026 年 8 月 20 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ:python-httplib2 バージョン:0.18.1-3+deb11u1 CVE ID: CVE-2021-21240 CVE-2026-59939 Debian バグ:982738

    包括的な Python HTTP クライアントライブラリである python-httplib2 に、2 つの脆弱性が発見されました:

    CVE-2021-21240

        悪意のあるサーバーが「www-authenticate」ヘッダーに一連の長い「\xa0」文字で応答すると、前述のサーバーにアクセスする httplib2 クライアントのサービス拒否(ヘッダーの解析中に CPU が焼損)されることがあります

    CVE-2026-59939

        gzip または deflate Content-Encoding でエンコードされた HTTP 応答本文の無制限展開により、サービス拒否が発生する可能性があります。

    Debian 11 bullseye では、これらの問題はバージョン 0.18.1-3+deb11u1 で修正されています。

    python-httplib2 パッケージをアップグレードすることを推奨します。

    python-httplib2 の詳細なセキュリティステータスについては、次のセキュリティ追跡ページを参照してください:
    https://security-tracker.debian.org/tracker/python-httplib2

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
151722	openSUSE 15 セキュリティ更新 : python-httplib2 (openSUSE-SU-2021:1806-1)	Nessus	SuSE Local Security Checks	2021/7/16	2023/12/8	medium
149881	openSUSE セキュリティ更新プログラム: python-httplib2 (openSUSE-2021-772)	Nessus	SuSE Local Security Checks	2021/5/25	2023/12/29	medium
149997	RHEL 8: Red Hat OpenStack Platform 16.1.6（python-httplib2）（RHSA-2021：2116)	Nessus	Red Hat Local Security Checks	2021/5/27	2024/11/7	medium
223633	Linux Distros のパッチ未適用の脆弱性: CVE-2021-21240	Nessus	Misc.	2025/3/4	2026/8/20	high
338429	Debian dla-4747:python3-httplib2 - セキュリティ更新	Nessus	Debian Local Security Checks	2026/8/20	2026/8/20	high

検出

プラグインの検索

medium

medium

medium

high

high