Python 函式庫 aiohttp < 3.14.1 多個弱點

high Nessus Plugin ID 324958

語言:

概要

遠端主機上安裝的 Python 程式庫受到多個弱點影響。

說明

遠端主機上安裝的 aiohttp Python 程式庫版本早於 3.14.1。因此，會受到多個弱點影響：

- 在之前 3.14.1，可以排入佇列的管線要求數目沒有限制。攻擊者可能能夠使用管線請求來使用過多的記憶體，從而可能導致 DoS。（CVE-2026-54273）

- 在 3.14.1之前，重複使用現有連線時，可以略過server_hostname TLS SNI 檢查。
如果應用程式對相同的網域提出多個要求，但每個要求的 server_hostname 參數不同，則後續的呼叫可能會透過重複使用現有連線而成功，而這些連線會因為TLS SNI 檢查而遭到拒絕。（CVE-2026-54275）

- 在 3.14.1之前，可以在 C 剖析器中繞過HTTP要求部分的max_line_size檢查。如果使用最佳化的 C 剖析器（預先建置輪中的預設值），則攻擊者可能能夠透過 HTTP 剖析器傳送過大的行並使用過多的記憶體，從而可能導致 DoS。（CVE-2026-54277）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。