遠端 Debian 11 主機已安裝的套件會受到 dla-4613 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4613-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026 年 6 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：python-aiohttp 版本：3.7.4-1+deb11u2 CVE 識別碼： CVE-2025-53643 CVE-2025-69224 CVE-2025-69225 CVE-2025-69226 CVE-2025-69227 CVE-2025-69228 CVE-2025-69229 CVE-2026-22815 CVE-2026-34513 CVE-2026-34514 CVE-2026-34516 CVE-2026-34517 CVE-2026-34518 CVE-2026-34519 CVE-2026-34520 CVE-2026-34525


    在 aiohttp 中發現多個漏洞，aiohttp 是一個用於 asyncio 和 Python 的非同步 HTTP 客戶端/伺服器框架。


    CVE-2025-53643

       由於未剖析 HTTP 要求的預告片區段而導致的請求走私弱點。

    CVE-2025-69224

       HTTP 剖析器中存在非 ASCII 字元時可能發生要求走私攻擊。

    CVE-2025-69225

       剖析器邏輯，允許在 Range 標頭中出現非 ASCII 小數。

    CVE-2025-69226

       路徑遊走弱點可讓攻擊者確定路徑元件的存在。

    CVE-2025-69227

       處理 POST 內文時，當繞過斷言語句時，可能會發生無限迴圈，從而導致可能的 DoS 攻擊。

    CVE-2025-69228

       可能的 DoS 攻擊，可使用 Request.post（） 耗盡記憶體，從而凍結伺服器。

    CVE-2025-69229

       處理區塊訊息，在接收大量區塊時，可能會導致過度封鎖 CPU 使用率。

    CVE-2026-22815

       由於標頭和尾部處理限制不足，導致記憶體使用量無上限。

    CVE-2026-34513

       過多的記憶體使用可能會因為無限的 DNS 快取而導致 DoS。

    CVE-2026-34514

       標頭插入。

    CVE-2026-34516

       具有過多多個部分標頭的回應所導致的潛在 DoS 弱點。

    CVE-2026-34517

       某些多部分表單欄位可能會因在檢查client_max_size之前將整體欄位讀取記憶體而造成過多的記憶體使用。

    CVE-2026-34518

       透過丟棄 Cookie 和 Proxy-Authorization 標頭來洩露敏感資訊 跟隨時會重新導向到不同的來源。

    CVE-2026-34519

       透過 reason 參數插入標頭。

    CVE-2026-34520

       根據 RFC 9110 檢查控制字元的標頭值，可能繞過安全性。

    CVE-2026-34525

       標頭可以複製，例如主機標頭。


    對於 Debian 11 bullseye，這些問題已在 3.7.4-1+deb11u2 版本中修復。

    建議您升級 python-aiohttp 套件。

    如需 python-aiohttp 的詳細安全性狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-aiohttp

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - AIOHTTP 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。在 3.13.4版之前在建立回應時控制 reason 參數的攻擊者可能可以插入額外標頭或類似惡意利用。此問題已在 3.13.4 版中修正。(CVE-2026-34519)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Debian 12 主機已安裝的套件會受到 dla-4876 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4876-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026 年 10 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 ： python-aiohttp 版本 ： 3.8.4-1+deb12u2 CVE ID ： CVE-2025-53643 CVE-2025-69223 CVE-2025-69224 CVE-2025-69225 CVE-2025-69226 CVE-2025-69227 CVE-2025-69228 CVE-2025-69229 CVE-2026-22815 CVE-2026-34513 CVE-2026-34514 CVE-2026-34516 CVE-2026-34517 CVE-2026-34518 CVE-2026-34519 CVE-2026-34520 CVE-2026-34525 CVE-2026-34993 CVE-2026-47265 CVE-2026-50269 CVE-2026-54274 CVE-2026-54277 CVE-2026-54279 CVE-2026-54280 CVE-2026-59881 CVE-2026-69243 Debian 錯誤 ： 1138780 1138781 1143160 1143597


    在 aiohttp 中發現多個漏洞，aiohttp 是一個用於 asyncio 和 Python 的非同步 HTTP 客戶端/伺服器框架。


    CVE-2025-53643

       由於未剖析 HTTP 要求的預告片區段而導致的請求走私弱點。

    CVE-2025-69223

       可能對伺服器進行 zip 炸彈攻擊。

    CVE-2025-69224

       HTTP 剖析器中存在非 ASCII 字元時可能發生要求走私攻擊。

    CVE-2025-69225

       剖析器邏輯允許在 Range 標頭中出現非 ASCII 小數。

    CVE-2025-69226

       允許攻擊者確定路徑元件是否存在的路徑遊走弱點。

    CVE-2025-69227

       在處理 POST 主體時，當繞過斷言語句時，可能會發生無限迴圈，從而導致 DoS。

    CVE-2025-69228

       使用 Request.post（） 耗盡記憶體可能會凍結伺服器並導致 DoS。

    CVE-2025-69229

       接收大量區塊時，處理區塊訊息可能會導致過度封鎖 CPU 使用率。

    CVE-2026-22815

       由於標頭和尾部處理的限制不足，導致記憶體使用量沒有上限。

    CVE-2026-34513

       過多的記憶體使用可能會因為無限的 DNS 快取而導致 DoS。

    CVE-2026-34514

       標頭插入。

    CVE-2026-34516

       具有過多多個部分標頭的回應所導致的潛在 DoS 弱點。

    CVE-2026-34517

       某些多部分表單欄位可能會因在檢查client_max_size之前將整體欄位讀取記憶體而造成過多的記憶體使用。

    CVE-2026-34518

       透過在重新導向到不同來源時丟棄 Cookie 和 Proxy-Authorization 標頭來洩露敏感資訊。

    CVE-2026-34519

       透過 reason 參數插入標頭。

    CVE-2026-34520

       透過根據 RFC 9110 檢查控制字元的標頭值，可能繞過安全性。

    CVE-2026-34525

       禁止重複的標頭，例如主機標頭，但鬆散模式除外。

    CVE-2026-34993

       將 CookieJar.load（） 與不受信任的輸入一起使用時，發生任意程式碼執行。

    CVE-2026-47265

       可能存在資料外洩。

    CVE-2026-50269

       包含在 multipart/payload 標頭中的攻擊者控制輸入可用來修改請求以插入其他標頭或類似內容。

    CVE-2026-54274

       攻擊者可以傳送大型不完整的 websocket 框架承載，並繞過記憶體使用的通常大小限制。

    CVE-2026-54277

       攻擊者可能能夠透過 HTTP 剖析器傳送過大的行並使用過多的記憶體，從而可能導致 DoS。

    CVE-2026-54279

       使用 CookieJar.save（） 儲存的僅限主機 Cookie，然後使用 CookieJar.load（） 還原的 Cookie 會失去其僅限主機狀態。

    CVE-2026-54280

       當用戶端在寫入過程中中斷連線時，承載資源未正確關閉時，可能會造成資源耗盡。

    CVE-2026-59881

       即使未協商 permessage-deflate 延伸模組，WebSocket 用戶端仍會接受並解壓縮設定了 RSV1 位元的框架，從而允許惡意伺服器造成非預期的 CPU 和記憶體消耗。

    CVE-2026-69243

       HTTP 剖析器容易受到與 WebSocket 升級相關的要求走私攻擊。


    對於 Debian 12 書蟲，這些問題已在 3.8.4-1+deb12u2 版本中修復。

    建議您升級 python-aiohttp 套件。

    如需 python-aiohttp 的詳細安全性狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-aiohttp

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 aioHTTP 版本比 3.13.4 舊。因此會受到一個要求走私弱點影響:

  - AIOHTTP 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。 3.13.4版之前標頭/結尾處理的限制不足可造成沒有設定上限的記憶體使用量。此問題已在 3.13.4 版中修正。(CVE-2026-22815)

  - AIOHTTP 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。在 3.13.4版之前可能允許 multipart 標頭過多的回應使用比預期更多的記憶體進而可能允許 DoS 弱點。此問題已在 3.13.4 版中修正。(CVE-2026-34516)

  - AIOHTTP 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。 3.13.4版之前aiohttp 中允許有多個 Host 標頭。此問題已在 3.13.4 版中修正。(CVE-2026-34525)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 9 主機中安裝的套件受到 ELSA-2026-604898 公告中提及的多個弱點影響。

    [2.187.0-1.0.5]
    - 修正 pyjwt、aiohttp、pyOpenSSL、multidict 中的多個 CVE

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
318080	Debian dla-4613 ： python-aiohttp-doc - 安全性更新	Nessus	Debian Local Security Checks	2026/6/1	2026/6/1	high
304758	Linux Distros 未修補的弱點：CVE-2026-34519	Nessus	Misc.	2026/4/3	2026/11/1	medium
374702	Debian dla-4876 ： python-aiohttp-doc - 安全性更新	Nessus	Debian Local Security Checks	2026/11/1	2026/11/1	high
304811	aioHTTP < 3.13.4 多個弱點 (CVE-2026-22815)	Nessus	Misc.	2026/4/3	2026/4/16	high
370504	Oracle Linux 9 ： python-oci-sdk （ELSA-2026-604898）	Nessus	Oracle Linux Local Security Checks	2026/10/22	2026/10/22	high

偵測

搜尋 Plugin

high

medium

high

high

high