Rocky Linux 9.6 主機安裝的套件受到 TuxCare ALMALINUX9.6：CLSA-2026：1770046658 公告中提及的多個弱點影響。

  - urllib3 是 Python 的人性化 HTTP 用戶端程式庫。從版本和 1.24 之前 2.6.0開始，解壓縮鏈中的鏈路數量是無限的，允許惡意伺服器插入幾乎無限數量的壓縮步驟，從而導致高 CPU 使用率和為解壓縮資料配置大量記憶體。此弱點已在 2.6.0 中修復。(CVE-2025-66418)

  - urllib3 是 Python 的人性化 HTTP 用戶端程式庫。從版本和之前2.6.0的版本開始1.0，串流 API 無法正確處理高度壓縮的資料。 urllib3 的串流 API 旨在透過讀取區塊中的內容來有效處理大型 HTTP 回應，而不是一次將整個回應本文載入記憶體。串流壓縮回應時，urllib3 可以根據 HTTP Content-Encoding 標頭（例如 gzip、deflate、br 或 zstd）執行解碼或解壓縮。
    程式庫必須從網路讀取壓縮資料並解壓縮，直到符合要求的區塊大小為止。任何超過要求數量的結果解壓縮資料都會保留在內部緩衝區中，以供下次讀取作業使用。解壓縮邏輯可能會導致 urllib3 在單一作業中完全解碼少量高度壓縮的資料。這可能會導致過多的資源消耗 （CPU 使用率高，以及為解壓縮資料配置大量記憶體。（CVE-2025-66471）

  - urllib3 是 Python 的 HTTP 用戶端程式庫。urllib3 的串流 API 旨在透過讀取區塊中的內容來有效處理大型 HTTP 回應，而不是一次將整個回應本文載入記憶體。urllib3 可以根據 HTTP 'Content-Encoding' 標頭（例如 'gzip'、'deflate'、'br' 或 'zstd'）執行解碼或解壓縮。使用串流 API 時，程式庫只會解壓縮必要的位元組，從而啟用部分內容使用。從版本 1.22 和之前的版本 2.6.3開始，對於 HTTP 重新導向回應，程式庫會讀取整個回應內文，以排空連線並不必要地解壓縮內容。此解壓縮甚至在呼叫任何讀取方法之前就已發生，而且設定的讀取限制並不會限制解壓縮資料的數量。因此，沒有針對減壓炸彈的保障措施。惡意伺服器可能會利用此漏洞在用戶端上觸發過多的資源消耗。當應用程式和程式庫在未停用重新導向時設定「preload_content=False」，從不受信任來源串流內容時，它們會受到影響。使用者應至少升級至 urllib3 v2.6.3，其中程式庫不會在「preload_content=False」時解碼重新導向回應的內容。如果無法立即升級，請針對不受信任來源的要求設定「redirect=False」來停用重新導向。（CVE-2026-21441）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Rocky Linux 9.6 [TuxCare] 安全性更新：python3.11-urllib3 多個弱點（ALMALINUX9.6：CLSA-2026：1770046658）

high Nessus Plugin ID 353195

找不到變更記錄

偵測

Rocky Linux 9.6 [TuxCare] 安全性更新：python3.11-urllib3 多個弱點 （ALMALINUX9.6：CLSA-2026：1770046658）

high Nessus Plugin ID 353195

找不到變更記錄

Rocky Linux 9.6 [TuxCare] 安全性更新：python3.11-urllib3 多個弱點（ALMALINUX9.6：CLSA-2026：1770046658）