Debian dla-4876 ： python-aiohttp-doc - 安全性更新
high Nessus Plugin ID 374702
語言:
概要
遠端 Debian 主機上缺少一個或多個安全性更新。說明
遠端 Debian 12 主機已安裝的套件會受到 dla-4876 公告中提及的多個弱點影響。------------------------------------------------------------------------- Debian LTS 公告 DLA-4876-1 [email protected] https://www.debian.org/lts/security/Daniel Leidert 2026 年 10 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------
套件 ： python-aiohttp 版本 ： 3.8.4-1+deb12u2 CVE ID ： CVE-2025-53643 CVE-2025-69223 CVE-2025-69224 CVE-2025-69225 CVE-2025-69226 CVE-2025-69227 CVE-2025-69228 CVE-2025-69229 CVE-2026-22815 CVE-2026-34513 CVE-2026-34514 CVE-2026-34516 CVE-2026-34517 CVE-2026-34518 CVE-2026-34519 CVE-2026-34520 CVE-2026-34525 CVE-2026-34993 CVE-2026-47265 CVE-2026-50269 CVE-2026-54274 CVE-2026-54277 CVE-2026-54279 CVE-2026-54280 CVE-2026-59881 CVE-2026-69243 Debian 錯誤 ： 1138780 1138781 1143160 1143597
在 aiohttp 中發現多個漏洞，aiohttp 是一個用於 asyncio 和 Python 的非同步 HTTP 客戶端/伺服器框架。
CVE-2025-53643
由於未剖析 HTTP 要求的預告片區段而導致的請求走私弱點。
CVE-2025-69223
可能對伺服器進行 zip 炸彈攻擊。
CVE-2025-69224
HTTP 剖析器中存在非 ASCII 字元時可能發生要求走私攻擊。
CVE-2025-69225
剖析器邏輯允許在 Range 標頭中出現非 ASCII 小數。
CVE-2025-69226
允許攻擊者確定路徑元件是否存在的路徑遊走弱點。
CVE-2025-69227
在處理 POST 主體時，當繞過斷言語句時，可能會發生無限迴圈，從而導致 DoS。
CVE-2025-69228
使用 Request.post（） 耗盡記憶體可能會凍結伺服器並導致 DoS。
CVE-2025-69229
接收大量區塊時，處理區塊訊息可能會導致過度封鎖 CPU 使用率。
CVE-2026-22815
由於標頭和尾部處理的限制不足，導致記憶體使用量沒有上限。
CVE-2026-34513
過多的記憶體使用可能會因為無限的 DNS 快取而導致 DoS。
CVE-2026-34514
標頭插入。
CVE-2026-34516
具有過多多個部分標頭的回應所導致的潛在 DoS 弱點。
CVE-2026-34517
某些多部分表單欄位可能會因在檢查client_max_size之前將整體欄位讀取記憶體而造成過多的記憶體使用。
CVE-2026-34518
透過在重新導向到不同來源時丟棄 Cookie 和 Proxy-Authorization 標頭來洩露敏感資訊。
CVE-2026-34519
透過 reason 參數插入標頭。
CVE-2026-34520
透過根據 RFC 9110 檢查控制字元的標頭值，可能繞過安全性。
CVE-2026-34525
禁止重複的標頭，例如主機標頭，但鬆散模式除外。
CVE-2026-34993
將 CookieJar.load（） 與不受信任的輸入一起使用時，發生任意程式碼執行。
CVE-2026-47265
可能存在資料外洩。
CVE-2026-50269
包含在 multipart/payload 標頭中的攻擊者控制輸入可用來修改請求以插入其他標頭或類似內容。
CVE-2026-54274
攻擊者可以傳送大型不完整的 websocket 框架承載，並繞過記憶體使用的通常大小限制。
CVE-2026-54277
攻擊者可能能夠透過 HTTP 剖析器傳送過大的行並使用過多的記憶體，從而可能導致 DoS。
CVE-2026-54279
使用 CookieJar.save（） 儲存的僅限主機 Cookie，然後使用 CookieJar.load（） 還原的 Cookie 會失去其僅限主機狀態。
CVE-2026-54280
當用戶端在寫入過程中中斷連線時，承載資源未正確關閉時，可能會造成資源耗盡。
CVE-2026-59881
即使未協商 permessage-deflate 延伸模組，WebSocket 用戶端仍會接受並解壓縮設定了 RSV1 位元的框架，從而允許惡意伺服器造成非預期的 CPU 和記憶體消耗。
CVE-2026-69243
HTTP 剖析器容易受到與 WebSocket 升級相關的要求走私攻擊。
對於 Debian 12 書蟲，這些問題已在 3.8.4-1+deb12u2 版本中修復。
建議您升級 python-aiohttp 套件。
如需 python-aiohttp 的詳細安全性狀態，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/python-aiohttp
有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分
Tenable 已直接從 Debian 安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級 python-aiohttp-doc 套件。另請參閱
https://packages.debian.org/source/bookworm/python-aiohttp
https://security-tracker.debian.org/tracker/CVE-2025-53643
https://security-tracker.debian.org/tracker/CVE-2025-69223
https://security-tracker.debian.org/tracker/CVE-2025-69224
https://security-tracker.debian.org/tracker/CVE-2025-69225
https://security-tracker.debian.org/tracker/CVE-2025-69226
https://security-tracker.debian.org/tracker/CVE-2025-69227
https://security-tracker.debian.org/tracker/CVE-2025-69228
https://security-tracker.debian.org/tracker/CVE-2025-69229
https://security-tracker.debian.org/tracker/CVE-2026-22815
https://security-tracker.debian.org/tracker/CVE-2026-34513
https://security-tracker.debian.org/tracker/CVE-2026-34514
https://security-tracker.debian.org/tracker/CVE-2026-34516
https://security-tracker.debian.org/tracker/CVE-2026-34517
https://security-tracker.debian.org/tracker/CVE-2026-34518
https://security-tracker.debian.org/tracker/CVE-2026-34519
https://security-tracker.debian.org/tracker/CVE-2026-34520
https://security-tracker.debian.org/tracker/CVE-2026-34525
https://security-tracker.debian.org/tracker/CVE-2026-34993
https://security-tracker.debian.org/tracker/CVE-2026-47265
https://security-tracker.debian.org/tracker/CVE-2026-50269
https://security-tracker.debian.org/tracker/CVE-2026-54274
https://security-tracker.debian.org/tracker/CVE-2026-54277
https://security-tracker.debian.org/tracker/CVE-2026-54279
https://security-tracker.debian.org/tracker/CVE-2026-54280
https://security-tracker.debian.org/tracker/CVE-2026-59881
Plugin 詳細資訊
嚴重性: High
ID: 374702
檔案名稱: debian_DLA-4876.nasl
版本: 1.1
類型: Local
代理程式: unix
已發布: 2026/11/1
已更新: 2026/11/1
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.9
百分位數: 96.29
CVSS v2
風險因素: High
基本分數: 7.8
時間性分數: 6.1
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N
CVSS 評分資料來源: CVE-2026-47265
CVSS v3
風險因素: High
基本分數: 7.5
時間性分數: 6.7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
風險因素: High
Base Score: 8.7
Threat Score: 7.7
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
CVSS 評分資料來源: CVE-2026-54277
弱點資訊
CPE: cpe:/o:debian:debian_linux:12.0, p-cpe:/a:debian:debian_linux:python-aiohttp-doc, p-cpe:/a:debian:debian_linux:python3-aiohttp
必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2026/10/31
弱點發布日期: 2025/7/14
參考資訊
CVE: CVE-2025-53643, CVE-2025-69223, CVE-2025-69224, CVE-2025-69225, CVE-2025-69226, CVE-2025-69227, CVE-2025-69228, CVE-2025-69229, CVE-2026-22815, CVE-2026-34513, CVE-2026-34514, CVE-2026-34516, CVE-2026-34517, CVE-2026-34518, CVE-2026-34519, CVE-2026-34520, CVE-2026-34525, CVE-2026-34993, CVE-2026-47265, CVE-2026-50269, CVE-2026-54274, CVE-2026-54277, CVE-2026-54279, CVE-2026-54280, CVE-2026-59881, CVE-2026-69243