リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:0859-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-69228大きなペイロードによるサービス拒否を修正しましたbsc#1256022。
    - CVE-2025-69226内部静的ファイルパスコンポーネントのブルートフォース漏洩を修正しましたbsc#1256020。
    - CVE-2025-69224解析の不一致を引き起こす可能性があるヘッダー値の unicode 処理を修正しましたbsc#1256018。
    - CVE-2025-69223zip 爆弾の影響を受けやすい aiohttp HTTP パーサーの auto_decompress 機能を修正しましたbsc#1256017。
    - CVE-2025-69227アサートをバイパスする際の DoS を修正しましたbsc#1256021。
    - CVE-2025-69225ASCII プロトコル要素用の正規表現で、unicode 一致グループを修正しましたbsc#1256019。
    - CVE-2025-69229チャンクされたメッセージによる DoS が修正されましたbsc#1256023

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 13 ホストには、dsa-6141 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- デビアンセキュリティアドバイザリー DSA-6241-1 security@debian.org https://www.debian.org/security/Moritz ミューレンホフ 2026年5月1日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ : python-aiohttp CVE ID : CVE-2025-69223 CVE-2025-69224 CVE-2025-69225 CVE-2025-69226 CVE-2025-69227 CVE-2025-69228 CVE-2025-69229

    非同期HTTPクライアント/サーバーであるPython aiohttpでは複数のセキュリティ脆弱性が発見され、サービス拒否、HTTPリクエストの密輸、情報漏洩につながる可能性があります。

    安定ディストリビューション(trixie)に関しては、これらの問題はバージョン3.11.16-1+deb13u1で修正されました。

    お使いの python-aiohttp パッケージをアップグレードすることを推奨します。

    python-aiohttp の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
    https://security-tracker.debian.org/tracker/python-aiohttp

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 11ホストには、dla-4613アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4613-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026年6月1日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ:python-aiohttp バージョン:3.7.4-1+deb11u2 CVE ID: CVE-2025-53643 CVE-2025-69224 CVE-2025-69225 CVE-2025-69226 CVE-2025-69227 CVE-2025-69228 CVE-2025-69229 CVE-2026-22815 CVE-2026-34513 CVE-2026-34514 CVE-2026-34516 CVE-2026-34517 CVE-2026-34518 CVE-2026-34519 CVE-2026-34520 CVE-2026-34525


    asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークである aiohttp に、複数の脆弱性が見つかりました。


    CVE-2025-53643

       HTTPリクエストのトレーラーセクションを解析しないことによるリクエストスマグリングの脆弱性。

    CVE-2025-69224

       非 ASCII 文字の存在による、HTTP パーサーのリクエストスマグリング攻撃の可能性。

    CVE-2025-69225

       パーサーロジック。これにより、非 ASCII 小数点を Range ヘッダーに存在できます。

    CVE-2025-69226

       攻撃者がパスコンポーネントの存在を確認できるパストラバーサルの脆弱性。

    CVE-2025-69227

       POST 本文を処理する際、アサーションステートメントがバイパスされると無限ループが発生し、DoS 攻撃を引き起こす可能性があります。

    CVE-2025-69228

       Request.post() を使用してメモリを枯渇させることでサーバーをフリーズさせることができる DoS 攻撃の可能性。

    CVE-2025-69229

       チャンクメッセージの処理により、チャンクを大量に受信したときに、CPU 使用率が過剰にブロックされる可能性があります。

    CVE-2026-22815

       ヘッダーおよびトレーラー処理の制限が不十分なため、メモリ使用量が上限なし。

    CVE-2026-34513

       過剰なメモリ使用により、制限されないDNSキャッシュによるDoSが発生する可能性があります。

    CVE-2026-34514

       ヘッダーインジェクション。

    CVE-2026-34516

       過剰な数のマルチパートヘッダーを持つ応答によって引き起こされる潜在的な DoS 脆弱性。

    CVE-2026-34517

       client_max_sizeをチェックする前にエントリフィールドをメモリに読み込むことで、一部のマルチパートフォームフィールドで過剰なメモリ使用が発生する可能性があります。

    CVE-2026-34518

       別の送信元へのリダイレクトに従う際のクッキーおよび Proxy-Authorization ヘッダーのドロップによる機密情報の漏洩。

    CVE-2026-34519

       理由パラメーターによるヘッダーインジェクション。

    CVE-2026-34520

       RFC 9110 に従って制御文字のヘッダー値をチェックすることによるセキュリティバイパスの可能性。

    CVE-2026-34525

       ヘッダー(例:ホストヘッダー)は複製できます。


    Debian 11 bullseye では、これらの問題はバージョン 3.7.4-1+deb11u2 で修正されました。

    お使いの python-aiohttp パッケージをアップグレードすることを推奨します。

    python-aiohttp の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
    https://security-tracker.debian.org/tracker/python-aiohttp

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20204-1 アドバイザリで言及されています。

    python-aiohttp の変更

    - CVE-2025-69228大きなペイロードによるサービス拒否を修正しましたbsc#1256022。
    - CVE-2025-69226内部静的ファイルパスコンポーネントのブルートフォース漏洩を修正しましたbsc#1256020。
    - CVE-2025-69224解析の不一致を引き起こす可能性があるヘッダー値の unicode 処理を修正しましたbsc#1256018。
    - CVE-2025-69223zip 爆弾の影響を受けやすい aiohttp HTTP パーサーの auto_decompress 機能を修正しましたbsc#1256017。
    - CVE-2025-69227アサートをバイパスする際の DoS を修正しましたbsc#1256021。
    - CVE-2025-69225ASCII プロトコル要素用の正規表現で、unicode 一致グループを修正しましたbsc#1256019。
    - CVE-2025-69229チャンクされたメッセージによる DoS が修正されましたbsc#1256023
    - CVE-2025-53643チャンクされたトレーラーセクションの不適切な解析によるリクエストスマグリングを修正しましたbsc#1246517。

    python-Brotli の変更

    - 最大長の展開を追加しますbsc#1254867、 bsc#1256017。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - AIOHTTP は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。バージョン 3.13.2 およびそれ以前では、攻撃者が、パストラバーサルを防ぐことを目的とした静的ファイルのパス正規化ロジックを通じて、絶対パスコンポーネントの存在を保証することが可能です。アプリケーションが web.static() を使用する場合実稼働環境での展開には推奨されません、攻撃者がパスコンポーネントの存在を確認できる可能性があります。この問題はバージョン 3.13.3 で修正されています。(CVE-2025-69226)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2026:0858-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-69228大きなペイロードによるサービス拒否を修正しましたbsc#1256022。
    - CVE-2025-69226内部静的ファイルパスコンポーネントのブルートフォース漏洩を修正しましたbsc#1256020。
    - CVE-2025-69224解析の不一致を引き起こす可能性があるヘッダー値の unicode 処理を修正しましたbsc#1256018。
    - CVE-2025-69223zip 爆弾の影響を受けやすい aiohttp HTTP パーサーの auto_decompress 機能を修正しましたbsc#1256017。
    - CVE-2025-69227アサートをバイパスする際の DoS を修正しましたbsc#1256021。
    - CVE-2025-69225ASCII プロトコル要素用の正規表現で、unicode 一致グループを修正しましたbsc#1256019。
    - CVE-2025-69229チャンクされたメッセージによる DoS が修正されましたbsc#1256023

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.10 ホストには、USN-8032-1 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Charles Chan氏は、AIOHTTPが圧縮されたリクエストの展開を不適切に処理することを発見しました。リモートの攻撃者がこの問題を悪用し、サービス拒否を引き起こす可能性があります。この問題はUbuntu 25.10でのみ対処されました。(CVE-2025-69223)

    Thomas Rinsma氏は、AIOHTTPがHTTPヘッダーの非ASCII文字を不適切に処理することを発見しました。リモートの攻撃者が、この問題を悪用して、リクエストスマグリング攻撃を実行し、特定のプロキシ保護をバイパスする可能性があります。この問題はUbuntu 22.04 LTS 、Ubuntu 24.04 LTS 、 25.10Ubuntuでのみ修正されました。
    (CVE-2025-69224)

    Thomas Rinsma 氏は、AIOHTTP が範囲ヘッダーの非 ASCII 文字を不適切に処理したことを発見しました。リモートの攻撃者が、この問題を悪用して、リクエストスマグリング攻撃を仕掛ける可能性があります。CVE-2025-69225

    Thomas Rinsma 氏は、静的ファイルを提供する際に AIOHTTP がパスの正規化を不適切に処理することを発見しました。リモートの攻撃者がこの問題を悪用して、秘密情報を取得する可能性があります。(CVE-2025-69226)

    Thomas Rinsma氏は、AIOHTTPが特定のPOSTリクエスト本体を不適切に処理することを発見しました。リモートの攻撃者がこの問題を悪用し、サービス拒否を引き起こす可能性があります。(CVE-2025-69227)

    Thomas Rinsma 氏は、AIOHTTP が大きな POST リクエストペイロードを不適切に処理したことを発見しました。リモートの攻撃者がこの問題を悪用し、サービス拒否を引き起こす可能性があります。(CVE-2025-69228)

    AIOHTTPがチャンクされたメッセージを不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用し、サービス拒否を引き起こす可能性があります。(CVE-2025-69229)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
302110	SUSE SLES15 セキュリティ更新python-aiohttpSUSE-SU-2026:0859-1]	Nessus	SuSE Local Security Checks	2026/3/13	2026/3/13	high
299419	Debian dsa-6141 : python-aiohttp-doc - security update	Nessus	Debian Local Security Checks	2026/2/18	2026/5/2	high
318080	Debian dla-4613:python-aiohttp-doc - セキュリティ更新	Nessus	Debian Local Security Checks	2026/6/1	2026/6/1	high
299126	openSUSE 16 セキュリティ更新python-aiohttp、python-BrotliopenSUSE-SU-2026:20204-1]	Nessus	SuSE Local Security Checks	2026/2/15	2026/2/15	high
281863	Linux Distros のパッチ未適用の脆弱性: CVE-2025-69226	Nessus	Misc.	2026/1/6	2026/7/16	medium
301812	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新 : python-aiohttp (SUSE-SU-2026:0858-1)	Nessus	SuSE Local Security Checks	2026/3/11	2026/3/11	high
299345	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.10 AIOHTTP の脆弱性USN-8032-1	Nessus	Ubuntu Local Security Checks	2026/2/18	2026/2/18	high

検出

プラグインの検索

high

high

high

high

medium

high

high