Python 库 aiohttp < 3.14.1 多种漏洞

high Nessus 插件 ID 324958

语言：

简介

远程主机上安装的 Python 库受到多个漏洞的影响。

描述

远程主机上安装的 aiohttp Python 库版本低于 3.14.1。因此，该应用程序受到多个漏洞的影响：

- 在之前， 3.14.1对于可排队的流水线请求数量没有限制。攻击者可能会使用管道请求来使用过多内存，从而可能导致 DoS。（CVE-2026-54273）

- 在之前的版本 3.14.1中，重复使用现有连接时可绕过 server_hostname TLS SNI 检查。
如果应用程序向同一域发出多个请求，但每个请求的server_hostname参数不同，则后续调用可能会通过重新使用现有连接而成功，而这些连接本应因 TLS SNI 检查而遭到拒绝。（CVE-2026-54275）

- 在之前的版本 3.14.1中，C 解析器中 HTTP 请求的某些部分可以绕过max_line_size检查。如果使用经过优化的 C 解析器（预构建轮中的默认值），则攻击者可能会通过 HTTP 解析器发送超大的行并使用过多内存，从而可能导致 DoS。（CVE-2026-54277）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。