リモートホストにインストールされている aioHTTP のバージョンは、3.13.4 より前です。このためこれは、リクエストスマグリングの脆弱性の影響を受けます:

  - AIOHTTP は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。バージョン 3.13.4より前のバージョンでは、ヘッダー/トレイラーの処理での制限が不十分なため、メモリ使用量が上限に設定されていませんでした。この問題には、バージョン 3.13.4 でパッチが適用されています。(CVE-2026-22815)

  - AIOHTTP は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。バージョン 3.13.4より前では、過剰な数のマルチパートヘッダーを持つ応答が、意図よりも多くのメモリを使用できることがあり、これにより DoS 脆弱性が引き起こされる可能性があります。この問題には、バージョン 3.13.4 でパッチが適用されています。(CVE-2026-34516)

  - AIOHTTP は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。バージョン 3.13.4より前は、複数の Host ヘッダーが aiohttp で許可されていました。この問題には、バージョン 3.13.4 でパッチが適用されています。(CVE-2026-34525)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - AIOHTTP は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。バージョン 3.13.4より前では、aiohttp の content_type パラメーターをコントロールする攻撃者が、これを利用して、追加のヘッダーまたは同様の悪用を注入する可能性があります。この問題には、バージョン 3.13.4 でパッチが適用されています。(CVE-2026-34514)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのDebian 11ホストには、dla-4613アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4613-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026年6月1日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ:python-aiohttp バージョン:3.7.4-1+deb11u2 CVE ID: CVE-2025-53643 CVE-2025-69224 CVE-2025-69225 CVE-2025-69226 CVE-2025-69227 CVE-2025-69228 CVE-2025-69229 CVE-2026-22815 CVE-2026-34513 CVE-2026-34514 CVE-2026-34516 CVE-2026-34517 CVE-2026-34518 CVE-2026-34519 CVE-2026-34520 CVE-2026-34525


    asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークである aiohttp に、複数の脆弱性が見つかりました。


    CVE-2025-53643

       HTTPリクエストのトレーラーセクションを解析しないことによるリクエストスマグリングの脆弱性。

    CVE-2025-69224

       非 ASCII 文字の存在による、HTTP パーサーのリクエストスマグリング攻撃の可能性。

    CVE-2025-69225

       パーサーロジック。これにより、非 ASCII 小数点を Range ヘッダーに存在できます。

    CVE-2025-69226

       攻撃者がパスコンポーネントの存在を確認できるパストラバーサルの脆弱性。

    CVE-2025-69227

       POST 本文を処理する際、アサーションステートメントがバイパスされると無限ループが発生し、DoS 攻撃を引き起こす可能性があります。

    CVE-2025-69228

       Request.post() を使用してメモリを枯渇させることでサーバーをフリーズさせることができる DoS 攻撃の可能性。

    CVE-2025-69229

       チャンクメッセージの処理により、チャンクを大量に受信したときに、CPU 使用率が過剰にブロックされる可能性があります。

    CVE-2026-22815

       ヘッダーおよびトレーラー処理の制限が不十分なため、メモリ使用量が上限なし。

    CVE-2026-34513

       過剰なメモリ使用により、制限されないDNSキャッシュによるDoSが発生する可能性があります。

    CVE-2026-34514

       ヘッダーインジェクション。

    CVE-2026-34516

       過剰な数のマルチパートヘッダーを持つ応答によって引き起こされる潜在的な DoS 脆弱性。

    CVE-2026-34517

       client_max_sizeをチェックする前にエントリフィールドをメモリに読み込むことで、一部のマルチパートフォームフィールドで過剰なメモリ使用が発生する可能性があります。

    CVE-2026-34518

       別の送信元へのリダイレクトに従う際のクッキーおよび Proxy-Authorization ヘッダーのドロップによる機密情報の漏洩。

    CVE-2026-34519

       理由パラメーターによるヘッダーインジェクション。

    CVE-2026-34520

       RFC 9110 に従って制御文字のヘッダー値をチェックすることによるセキュリティバイパスの可能性。

    CVE-2026-34525

       ヘッダー(例:ホストヘッダー)は複製できます。


    Debian 11 bullseye では、これらの問題はバージョン 3.7.4-1+deb11u2 で修正されました。

    お使いの python-aiohttp パッケージをアップグレードすることを推奨します。

    python-aiohttp の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
    https://security-tracker.debian.org/tracker/python-aiohttp

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3207-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-aiohttp のこの更新は、次の問題を修正します

    - CVE-2026-22815:ヘッダー/トレーラー処理の制限が不十分なため、メモリ使用量の上限が無制限になり、サービス拒否(bsc#1261320)が引き起こされる可能性があります。
    - CVE-2026-34513:無制限のDNSキャッシュは、過剰なメモリ使用を引き起こし、サービス拒否(bsc#1261321)につながる可能性があります。
    - CVE-2026-34514:「content_type」パラメーター操作により、ヘッダーインジェクションが発生する可能性があります(bsc#1261322)。
    - CVE-2026-34516:過剰なマルチパートヘッダーを持つ応答が、意図した以上に多くのメモリを使用し、サービス拒否(bsc#1261329)を引き起こす可能性があります。
    - CVE-2026-34517:サイズチェックなしでメモリに読み込まれる大きなマルチパートフォームフィールドにより、サービス拒否が発生する可能性があります(bsc#1261331)。
    - CVE-2026-34518:リダイレクトに従うときに「Cookie」および「Proxy-Authorization」ヘッダーを保持すると、情報漏洩が発生する可能性があります(bsc#1261332)。
    - CVE-2026-34519:応答の「reason」パラメーターは、ヘッダーインジェクションを実行するために使用される可能性があります(bsc#1261334)。
    - CVE-2026-34520:C パーサーによる不適切な文字処理により、ヘッダーインジェクションが発生する可能性があります(bsc#1261335)。
    - CVE-2026-34525:複数の「Host」ヘッダーにより、プロキシサーバー(bsc#1261343)でセキュリティバイパスが発生する可能性があります。
    - CVE-2026-34993:「CookieJar.load()」で信頼できない入力をロードすると、任意のコードの実行を引き起こす可能性があります(bsc#1267471)。
    - CVE-2026-47265:リクエストで「cookies」パラメーターで設定されたクッキーは、オリジン間リダイレクト後に送信され、機密データを漏洩する可能性があります(bsc#1267561)。
    - CVE-2026-50269:ユーザーコントロール文字列の検証が不適切なために、マルチパートヘッダー(bsc#1268398)で CRLF インジェクションが可能になります。
    - CVE-2026-54273:HTTP/1パイプライン化されたリクエストキューに制限がないため、過剰なリソース消費が発生する可能性があります(bsc#1268543)。
    - CVE-2026-54274:不完全な websocket フレームペイロードにより、メモリ使用制限がバイパスされ、過剰なリソース消費により DoS が引き起こされる可能性があります(bsc#1268544)。
    - CVE-2026-54275:既存の接続TLS再利用された場合、「server_hostname」が SNI チェックをバイパスします(bsc#1268549)。
    - CVE-2026-54277:最適化された C HTTP パーサーを使用する際の「max_line_size」バイパスにより、過剰なリソース消費が引き起こされる可能性があります(bsc#1268556)。
    - CVE-2026-54278:未読の圧縮されたリクエスト本文が、クリーンアップ中に「client_max_size」をバイパスし、DoSを引き起こす可能性があります(bsc#1268559)。
    - CVE-2026-54279:「ホストのみのクッキー」は、「CookieJar」の永続性の後にドメインクッキーになります(bsc#1268560)。
    - CVE-2026-54280:書き込みの途中でクライアントが切断された場合、ペイロードリソースが正しく閉じられず、リソース枯渇(bsc#1268561)を引き起こす可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3059-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-aiohttp のこの更新は、次の問題を修正します

    - CVE-2026-22815:ヘッダー/トレーラーの処理が不十分なために、サービス拒否(bsc#1261320)が引き起こされる可能性があります。
    - CVE-2026-34513:無制限のDNSキャッシュにより、サービス拒否(bsc#1261321)が引き起こされる可能性があります。
    - CVE-2026-34514:content_typeパラメーター操作により、ヘッダーインジェクションが発生する可能性があります(bsc#1261322)。
    - CVE-2026-34516:過剰なマルチパートヘッダーにより、サービス拒否(bsc#1261329)が引き起こされる可能性があります。
    - CVE-2026-34517:大きなマルチパートフォームフィールドで、サービス拒否(bsc#1261331)が発生する可能性があります。
    - CVE-2026-34518:リダイレクト中に保持されたクッキーおよび Proxy-Authorization ヘッダーにより、情報漏洩が発生する可能性があります(bsc#1261332)。
    - CVE-2026-34519:理由パラメーターは、ヘッダーインジェクション(bsc#1261334)を実行するために使用できます。
    - CVE-2026-34520:文字の処理が不適切なために、ヘッダーインジェクションが発生する可能性があります(bsc#1261335)。
    - CVE-2026-34525:複数の Host ヘッダーにより、セキュリティバイパス(bsc#1261343)が発生する可能性があります。
    - CVE-2026-34993:CookieJar.load() への信頼できない入力のロードによる任意のコードの実行(bsc#1267471)。
    - CVE-2026-47265:リクエストで「cookies」パラメーターで設定されたクッキーがクロスオリジンリダイレクト(bsc#1267561)に続いて送信されます。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
304811	aioHTTP < 3.13.4 複数の脆弱性CVE-2026-22815]	Nessus	Misc.	2026/4/3	2026/4/16	high
304766	Linux Distros のパッチ未適用の脆弱性: CVE-2026-34514	Nessus	Misc.	2026/4/3	2026/7/25	medium
318080	Debian dla-4613:python-aiohttp-doc - セキュリティ更新	Nessus	Debian Local Security Checks	2026/6/1	2026/6/1	high
329280	SUSE SLED15 / SLES15 セキュリティ更新:python-aiohttp(SUSE-SU-2026:3207-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/9/18	high
327318	SUSE SLES15 セキュリティ更新:python-aiohttp(SUSE-SU-2026:3059-1)	Nessus	SuSE Local Security Checks	2026/7/16	2026/9/18	high

検出

プラグインの検索

high

medium

high

high

high