遠端主機上安裝的 aioHTTP 版本比 3.12.14 舊。因此會受到一個要求走私弱點影響:

  - AIOHTTP 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。在 3.12.14 版之前，Python 剖析器因未剖析 HTTP 要求中的結尾區段，而容易受到要求走私弱點的影響。如果已安裝 aiohttp 的純 Python 版本 (即沒有通常的 C 延伸模組) 或啟用 AIOHTTP_NO_EXTENSIONS，則攻擊者可執行要求走私攻擊，以繞過某些防火牆或代理伺服器保護。3.12.14 版包含針對此問題的修補程式。(CVE-2025-53643)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - AIOHTTP 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。在 3.12.14 版之前，Python 剖析器因未剖析 HTTP 要求中的結尾區段，而容易受到要求走私弱點的影響。如果已安裝 aiohttp 的純 Python 版本 (即沒有通常的 C 延伸模組) 或啟用 AIOHTTP_NO_EXTENSIONS，則攻擊者可執行要求走私攻擊，以繞過某些防火牆或代理伺服器保護。 3.12.14 版包含針對此問題的修補程式。
    (CVE-2025-53643)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2026:2760 公告中提及的多個弱點影響。

    Red Hat Satellite 是一套系統管理解決方案，讓組織無須為其伺服器或其他用戶端系統提供公共網際網路存取，就可以設定和維護系統。可執行預先定義標準作業環境的佈建和組態管理。

    安全性修正：

    * python-aiohttpAIOHTTP HTTP 要求/回應走私 (CVE-2025-53643)
    * python3.12-urllib3遵循 HTTP 重新導向 (資料流 API) 時urllib3 容易繞過解壓縮炸彈保護措施 (CVE-2026-21441)
    * python3.12-urllib3urllib3 Streaming API 未正確處理高度壓縮的資料 (CVE-2025-66471)

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝的套件會受到 dla-4613 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4613-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026 年 6 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：python-aiohttp 版本：3.7.4-1+deb11u2 CVE 識別碼： CVE-2025-53643 CVE-2025-69224 CVE-2025-69225 CVE-2025-69226 CVE-2025-69227 CVE-2025-69228 CVE-2025-69229 CVE-2026-22815 CVE-2026-34513 CVE-2026-34514 CVE-2026-34516 CVE-2026-34517 CVE-2026-34518 CVE-2026-34519 CVE-2026-34520 CVE-2026-34525


    在 aiohttp 中發現多個漏洞，aiohttp 是一個用於 asyncio 和 Python 的非同步 HTTP 客戶端/伺服器框架。


    CVE-2025-53643

       由於未剖析 HTTP 要求的預告片區段而導致的請求走私弱點。

    CVE-2025-69224

       HTTP 剖析器中存在非 ASCII 字元時可能發生要求走私攻擊。

    CVE-2025-69225

       剖析器邏輯，允許在 Range 標頭中出現非 ASCII 小數。

    CVE-2025-69226

       路徑遊走弱點可讓攻擊者確定路徑元件的存在。

    CVE-2025-69227

       處理 POST 內文時，當繞過斷言語句時，可能會發生無限迴圈，從而導致可能的 DoS 攻擊。

    CVE-2025-69228

       可能的 DoS 攻擊，可使用 Request.post（） 耗盡記憶體，從而凍結伺服器。

    CVE-2025-69229

       處理區塊訊息，在接收大量區塊時，可能會導致過度封鎖 CPU 使用率。

    CVE-2026-22815

       由於標頭和尾部處理限制不足，導致記憶體使用量無上限。

    CVE-2026-34513

       過多的記憶體使用可能會因為無限的 DNS 快取而導致 DoS。

    CVE-2026-34514

       標頭插入。

    CVE-2026-34516

       具有過多多個部分標頭的回應所導致的潛在 DoS 弱點。

    CVE-2026-34517

       某些多部分表單欄位可能會因在檢查client_max_size之前將整體欄位讀取記憶體而造成過多的記憶體使用。

    CVE-2026-34518

       透過丟棄 Cookie 和 Proxy-Authorization 標頭來洩露敏感資訊 跟隨時會重新導向到不同的來源。

    CVE-2026-34519

       透過 reason 參數插入標頭。

    CVE-2026-34520

       根據 RFC 9110 檢查控制字元的標頭值，可能繞過安全性。

    CVE-2026-34525

       標頭可以複製，例如主機標頭。


    對於 Debian 11 bullseye，這些問題已在 3.7.4-1+deb11u2 版本中修復。

    建議您升級 python-aiohttp 套件。

    如需 python-aiohttp 的詳細安全性狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-aiohttp

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
242322	aioHTTP < 3.12.14 要求走私 (CVE-2025-53643)	Nessus	Misc.	2025/7/18	2026/1/21	medium
253116	Linux Distros 未修補的弱點：CVE-2025-53643	Nessus	Misc.	2025/8/21	2026/7/15	medium
299192	RHEL 9：Satellite 6.18.3 Async Update (重要) (RHSA-2026:2760)	Nessus	Red Hat Local Security Checks	2026/2/16	2026/2/16	high
318080	Debian dla-4613 ： python-aiohttp-doc - 安全性更新	Nessus	Debian Local Security Checks	2026/6/1	2026/6/1	high

偵測

搜尋 Plugin

medium

medium

high

high