Amazon Linux 2python-urllib3 --advisory ALAS2-2025-3110 (ALAS-2025-3110)

high Nessus Plugin ID 281822

語言:

概要

遠端 Amazon Linux 2 主機缺少安全性更新。

說明

遠端主機上安裝的 python-urllib3 版本為早於 1.25.9-1 的版本。因此，會受到 ALAS2-2025-3110 公告中所提及的多個弱點影響。

urllib3 是 Python 的人性化 HTTP 用戶端程式庫。從 1.24 版及 2.6.0之前的版本開始解壓縮鏈結中的連結數無限制允許惡意伺服器插入幾乎無限數量的壓縮步驟導致高 CPU 使用率以及為解壓縮資料配置大量記憶體。此弱點已在 2.6.0 中修復。(CVE-2025-66418)

urllib3 是 Python 的人性化 HTTP 用戶端程式庫。從 1.0 版和 2.6.0之前的版本開始Streaming API 未正確處理高度壓縮的資料。 urllib3 的串流 API 設計為透過以區塊讀取內容來有效處理大型 HTTP 回應而非一次將整個回應內文載入記憶體。串流壓縮的回應時urllib3 可根據 HTTP Content-Encoding 標頭 (例如gzip、deflate、br 或 zstd) 執行解碼或解壓縮。
程式庫必須從網路讀取壓縮資料並加以解壓縮直到符合要求的區塊大小為止。所產生的任何超過要求數量的解壓縮資料都會保留在內部緩衝區中以供下次讀取作業使用。解壓縮邏輯可造成 urllib3 在單一作業中完全解碼少量高度壓縮的資料。這可導致過度資源消耗 (高 CPU 使用率以及為解壓縮資料配置大量記憶體。(CVE-2025-66471)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。