远程主机上安装的 python-urllib3 版本低于 1.25.9-1。因此，该软件受到 ALAS2-2025-3110 公告中提及的多个漏洞影响。

    urllib3 是适用于 Python 的用户友好 HTTP 客户端库。自版本 1.24 至低于 2.6.0的版本中解压缩链中的链接数量不受限制可让恶意服务器插入几乎无限的压缩步骤进而导致为解压缩的数据分配高 CPU 使用率和大量内存。此漏洞已在 2.6.0 中修复。(CVE-2025-66418)

    urllib3 是适用于 Python 的用户友好 HTTP 客户端库。自版本 1.0 至低于 2.6.0的版本中Streaming API 未正确处理高度压缩的数据。 urllib3 的流 API 设计用于通过读取区块中的内容而不是将整个响应正文一次加载到内存中来有效地处理大型 HTTP 响应。当流式传输压缩响应时urllib3 可能基于 HTTP 内容编码标头例如 gzip、deflate、br 或 zstd执行解码或解压缩。
    该库必须从网络读取压缩的数据并将其解压缩直到满足请求的区块大小为止。任何超出请求数量的结果解压缩数据都将保留在内部缓冲区中，以供下一次读取操作使用。这些解压缩逻辑可导致 urllib3 在单个操作中完全解码少量高度压缩的数据。这可导致过多资源消耗解压缩的数据高 CPU 使用率和大量内存分配。(CVE-2025-66471]

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2python-urllib3、 --advisory ALAS2-2025-3110 (ALAS-2025-3110)

high Nessus 插件 ID 281822

版本 1.1