Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 使用 Brotli 支援時，urllib3 版本 2.6.3 的串流 API 中容易受到解壓縮炸彈繞過 （'preload_content=False'） 的影響。出現此問題的原因是「response.py」中有三個獨立的程式碼路徑，這些路徑繞過了版本 2.6.0 中引入的「max_length」保護以緩解 CVE-2025-66471。具體來說，由於 'read（）' 中的緩衝區算術，可能會產生負的 'max_length' 值，'flush_decoder' 無條件地將 'max_length' 覆蓋為 '-1'，而 '_flush_decoder（）' 根本不傳遞任何限制，默認為無限解壓縮。這允許惡意 HTTP 伺服器透過將大型承載解壓縮到記憶體中來觸發記憶體不足 （OOM） 情況，從而導致拒絕服務 （DoS）。此弱點會影響 urllib3 2.6.3 和 Brotli 1.2.0 ，並影響使用「requests」或「urllib3」從不受信任來源串流內容的應用程式和程式庫。（CVE-2026-9375）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 使用 Brotli 支持时，urllib3 版本 2.6.3 容易遭受其流 API 中的解压缩炸弹绕过（“preload_content=False”）的影响。产生该问题的原因是“response.py”中三个独立的代码路径绕过版本 2.6.0 中引入的“max_length”保护以缓解 CVE-2025-66471。具体而言，由于“read（）”中的缓冲区运算，可能会产生负的“max_length”值，“flush_decoder”会无条件地将“max_length”替换为“-1”，而“_flush_decoder（）”完全不传递任何限制，默认为无限制解压缩。这会允许恶意 HTTP 服务器通过将大型负载解压缩到内存中来触发内存不足 （OOM） 情况，从而导致拒绝服务 （DoS）。该漏洞影响 urllib3 2.6.3 和 Brotli 1.2.0 ，并影响使用“requests”或“urllib3”从不受信任的来源流式传输内容的应用程序和库。（CVE-2026-9375）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - urllib3 バージョン 2.6.3 は、Brotli サポートを使用する際に、ストリーミング API での展開爆弾のバイパスに脆弱です(「preload_content=False」)。この問題は、CVE-2025-66471を軽減するためにバージョン 2.6.0 で導入された「max_length」保護をバイパスする「response.py」の 3 つの独立したコードパスが原因で発生します。具体的には、「read()」のバッファ演算によりマイナスの「max_length」値が生成される可能性があり、「flush_decoder」が無条件に「max_length」を「-1」にオーバーライドし、「_flush_decoder()」が制限をまったく渡さず、デフォルトでは無制限に展開されます。これにより、悪意のある HTTP サーバーが、大きなペイロードをメモリに展開することでメモリ不足(OOM)状態を発生させ、サービス拒否(DoS)を引き起こす可能性があります。この脆弱性は、urllib3 2.6.3 および Brotli 1.2.0 に影響を及ぼし、「requests」または「urllib3」を使用して信頼できないソースからコンテンツをストリーミングするアプリケーションおよびライブラリにも影響を及ぼします。(CVE-2026-9375)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのopenSUSE 16ホストには、openSUSE- SU-2026:21430-1アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    python-urllib3用のこの更新プログラムでは、次の問題が修正されています

    - CVE-2026-9375:Brotli サポートを使用する際のストリーミング API における展開爆弾のバイパスにより、サービス拒否が発生する可能性があります(bsc#1268683)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3397-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    python-urllib3用のこの更新プログラムでは、次の問題が修正されています

    - CVE-2026-9375:Brotli サポートを使用する際のストリーミング API における展開爆弾のバイパスにより、サービス拒否が発生する可能性があります(bsc#1268683)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのSUSE Linux SLES16 /SLES_SAP16ホストには、 SUSE-SU-2026:22863-1 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    python-urllib3用のこの更新プログラムでは、次の問題が修正されています

    - CVE-2026-9375:Brotli サポートを使用する際のストリーミング API における展開爆弾のバイパスにより、サービス拒否が発生する可能性があります(bsc#1268683)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by a vulnerability as referenced in the openSUSE- SU-2026:21430-1 advisory.

    This update for python-urllib3 fixes the following issue

    - CVE-2026-9375: decompression bomb bypass in the streaming API  when using Brotli support can lead to a     denial of       service (bsc#1268683).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

An update of the python3 package has been released.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by a vulnerability as referenced in the SUSE-SU-2026:3397-1 advisory.

    This update for python-urllib3 fixes the following issue

    - CVE-2026-9375: decompression bomb bypass in the streaming API when using Brotli support can lead to a     denial of       service (bsc#1268683).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES16 / SLES_SAP16 host has a package installed that is affected by a vulnerability as referenced in the SUSE-SU-2026:22863-1 advisory.

    This update for python-urllib3 fixes the following issue

    - CVE-2026-9375: decompression bomb bypass in the streaming API  when using Brotli support can lead to a     denial of       service (bsc#1268683).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - urllib3 version 2.6.3 is vulnerable to a decompression bomb bypass in its streaming API     (`preload_content=False`) when using Brotli support. The issue arises due to three independent code paths     in `response.py` that bypass the `max_length` protection introduced in version 2.6.0 to mitigate     CVE-2025-66471. Specifically, negative `max_length` values can be produced due to buffer arithmetic in     `read()`, `flush_decoder` unconditionally overrides `max_length` to `-1`, and `_flush_decoder()` passes no     limit at all, defaulting to unlimited decompression. This allows a malicious HTTP server to trigger an     out-of-memory (OOM) condition by decompressing large payloads into memory, leading to a denial of service     (DoS). The vulnerability affects urllib3 2.6.3 and Brotli 1.2.0 and impacts applications and libraries     using `requests` or `urllib3` to stream content from untrusted sources. (CVE-2026-9375)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
321837	Linux Distros 未修補弱點：CVE-2026-9375	Nessus	Misc.	2026/6/21	2026/7/16	high
321837	Linux Distros 未修补的漏洞：CVE-2026-9375	Nessus	Misc.	2026/6/21	2026/7/16	high
321837	Linux Distros のパッチ未適用の脆弱性: CVE-2026-9375	Nessus	Misc.	2026/6/21	2026/7/16	high
329717	openSUSE 16 セキュリティ更新:python-urllib3(openSUSE-SU-2026:21430-1)	Nessus	SuSE Local Security Checks	2026/7/25	2026/7/25	high
331465	SUSE SLED15 / SLES15 セキュリティ更新 : python-urllib3 (SUSE-SU-2026:3397-1)	Nessus	SuSE Local Security Checks	2026/7/31	2026/7/31	high
330328	SUSE SLES16 セキュリティ更新 : python-urllib3 (SUSE-SU-2026:22863-1)	Nessus	SuSE Local Security Checks	2026/7/28	2026/7/28	high
329717	openSUSE 16 Security Update : python-urllib3 (openSUSE-SU-2026:21430-1)	Nessus	SuSE Local Security Checks	2026/7/25	2026/7/25	high
324560	Photon OS 5.0: Python3 PHSA-2026-5.0-0911	Nessus	PhotonOS Local Security Checks	2026/7/1	2026/7/1	high
331465	SUSE SLED15 / SLES15 Security Update : python-urllib3 (SUSE-SU-2026:3397-1)	Nessus	SuSE Local Security Checks	2026/7/31	2026/7/31	high
330328	SUSE SLES16 Security Update : python-urllib3 (SUSE-SU-2026:22863-1)	Nessus	SuSE Local Security Checks	2026/7/28	2026/7/28	high
321837	Linux Distros Unpatched Vulnerability : CVE-2026-9375	Nessus	Misc.	2026/6/21	2026/7/16	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high