Amazon Linux 2023：python3-urllib3 (ALAS2023-2026-3150)

medium Nessus 插件 ID 365232

语言：

简介

远程 Amazon Linux 2023 主机缺少安全更新。

描述

因此，该软件受到 ALAS2023-2026-3150 公告中提及的多个漏洞影响。

urllib3 是用户友好的 Python HTTP 客户端库。以前，当 HTTP 重定向响应使用状态 301、302 或 303 时，当请求将其方法从可接受请求正文（如“POST”）更改为 HTTP RFC 要求的“GET”后，urllib3 不会删除该 HTTP 请求正文。
尽管重定向部分中没有指定此行为，但可以将不同部分的信息拼凑在一起来推断，而且我们已经在其他主要 HTTP 客户端实现（如 curl 和 Web 浏览器）中观察到该行为。由于该漏洞需在先前受信任的服务遭到损坏后才能对机密性产生影响，因此我们认为该漏洞的可利用性较低。此外，多数用户也不会将敏感数据放入 HTTP 请求正文中，如果是这种情况，则该漏洞无法利用。必须满足以下两个条件才会受到此漏洞的影响：1. 使用 urllib3 并在 HTTP 请求正文中提交敏感信息（例如表单数据或 JSON），而且 2. 源服务会遭到损坏，并会开始使用 301、302 或 303 重定向到恶意对等机，或是出现重定向到的服务遭到损坏的情况。
此问题已在 1.26.18 和 2.0.7 版本中解决，建议用户通过更新来解决此问题。无法更新的用户应禁用服务重定向（不希望通过 `redirects=False` 重定向进行响应），并使用 `redirects=False` 禁用自动重定向，亦可通过剥离 HTTP 请求正文来手动处理 301、302 和 303 重定向。(CVE-2023-45803)

使用 Brotli 支持时，urllib3 版本 2.6.3 容易在其流 API 中遭受解压缩炸弹绕过（“preload_content=False”）。产生该问题的原因是“response.py”中三个独立的代码路径绕过版本 2.6.0 中引入的“max_length”保护以缓解 CVE-2025-66471。具体而言，由于“read（）”中的缓冲区运算，可能会产生负的“max_length”值，“flush_decoder”会无条件地将“max_length”替换为“-1”，而“_flush_decoder（）”完全不传递任何限制，默认为无限制解压缩。这会允许恶意 HTTP 服务器通过将大型负载解压缩到内存中来触发内存不足（OOM）情况，从而导致拒绝服务（DoS）。该漏洞影响 urllib3 2.6.3 和 Brotli 1.2.0 ，并影响使用“requests”或“urllib3”从不受信任的来源流式传输内容的应用程序和库。（CVE-2026-9375）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

运行“dnf update python-urllib3 --releasever 2023.12.20261012”或“/或”dnf update --advisory ALAS2023-2026-3150 --releasever 2023.12.20261012“以更新系统。

另见

https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3150.html

https://alas.aws.amazon.com/faqs.html

https://explore.alas.aws.amazon.com/CVE-2023-45803.html

https://explore.alas.aws.amazon.com/CVE-2026-9375.html

插件详情

严重性: Medium

ID: 365232

文件名: al2023_ALAS2023-2026-3150.nasl

版本: 1.1

类型: Local

代理: unix

系列: Amazon Linux Local Security Checks

发布时间: 2026/10/12

最近更新时间: 2026/10/12

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus