AlmaLinux 9.2 [TuxCare] 安全性更新：python3.11-urllib3 多個弱點 （ALMALINUX9.2：CLSA-2026：1770035896）
high Nessus Plugin ID 351661
語言:
概要
AlmaLinux 主機缺少一或多個安全性更新。說明
AlmaLinux 9.2 主機安裝了一個套件，該套件受到 TuxCare ALMALINUX9.2：CLSA-2026：1770035896 公告中提及的多個弱點影響。- urllib3 是 Python 的人性化 HTTP 用戶端程式庫。從版本和 1.24 之前 2.6.0開始，解壓縮鏈中的鏈路數量是無限的，允許惡意伺服器插入幾乎無限數量的壓縮步驟，從而導致高 CPU 使用率和為解壓縮資料配置大量記憶體。此弱點已在 2.6.0 中修復。(CVE-2025-66418)
- urllib3 是 Python 的人性化 HTTP 用戶端程式庫。從版本和之前2.6.0的版本開始1.0，串流 API 無法正確處理高度壓縮的資料。 urllib3 的串流 API 旨在透過讀取區塊中的內容來有效處理大型 HTTP 回應，而不是一次將整個回應本文載入記憶體。串流壓縮回應時，urllib3 可以根據 HTTP Content-Encoding 標頭（例如 gzip、deflate、br 或 zstd）執行解碼或解壓縮。
程式庫必須從網路讀取壓縮資料並解壓縮，直到符合要求的區塊大小為止。任何超過要求數量的結果解壓縮資料都會保留在內部緩衝區中，以供下次讀取作業使用。解壓縮邏輯可能會導致 urllib3 在單一作業中完全解碼少量高度壓縮的資料。這可能會導致過多的資源消耗 （CPU 使用率高，以及為解壓縮資料配置大量記憶體。（CVE-2025-66471）
- urllib3 是 Python 的 HTTP 用戶端程式庫。urllib3 的串流 API 旨在透過讀取區塊中的內容來有效處理大型 HTTP 回應，而不是一次將整個回應本文載入記憶體。urllib3 可以根據 HTTP 'Content-Encoding' 標頭（例如 'gzip'、'deflate'、'br' 或 'zstd'）執行解碼或解壓縮。使用串流 API 時，程式庫只會解壓縮必要的位元組，從而啟用部分內容使用。從版本 1.22 和之前的版本 2.6.3開始，對於 HTTP 重新導向回應，程式庫會讀取整個回應內文，以排空連線並不必要地解壓縮內容。此解壓縮甚至在呼叫任何讀取方法之前就已發生，而且設定的讀取限制並不會限制解壓縮資料的數量。因此，沒有針對減壓炸彈的保障措施。惡意伺服器可能會利用此漏洞在用戶端上觸發過多的資源消耗。當應用程式和程式庫在未停用重新導向時設定「preload_content=False」，從不受信任來源串流內容時，它們會受到影響。使用者應至少升級至 urllib3 v2.6.3，其中程式庫不會在「preload_content=False」時解碼重新導向回應的內容。如果無法立即升級，請針對不受信任來源的要求設定「redirect=False」來停用重新導向。（CVE-2026-21441）
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
根據 TuxCare 公告 ALMALINUX9.2：CLSA-2026：1770035896 中的指引更新受影響的 python3.11-urllib3 套件。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 351661
檔案名稱: tuxcare_alma_linux_9.2_CLSA-2026-1770035896.nasl
版本: 1.1
類型: Local
已發布: 2026/9/30
已更新: 2026/9/30
支援的感應器: Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.7
百分位數: 96.43
Vendor
Vendor Severity: Important
CVSS v2
風險因素: High
基本分數: 7.8
時間性分數: 5.8
媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS 評分資料來源: CVE-2026-21441
CVSS v3
風險因素: High
基本分數: 7.5
時間性分數: 6.5
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
風險因素: High
Base Score: 8.9
Threat Score: 6.3
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H
弱點資訊
必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/AlmaLinux/release, Host/AlmaLinux/rpm-list, Host/OS/extended-third-party
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2026/2/2
弱點發布日期: 2025/12/5
參考資訊
CVE: CVE-2025-66418, CVE-2025-66471, CVE-2026-21441
CLSA: 2026:1770035896