V
Сканер-ВС
ENRU
ГлавнаяКаталогИсточникиCWECAPECATT&CKМеры защитыПродуктыВендорыДокументация
←К каталогу
CVE-2025-66471
ANC
Высокий

urllib3 - это удобная для пользователя HTTP-клиент-библиотека для Python. Начиная с версии 1.0 и до 2.6.0, Streaming API неправильно обраба…

CVSS
8.9
Высокий
EPSS
0.01
p40
Опубликовано
2025-01-01
Обновлено
2025-01-01
Описание

urllib3 - это удобная для пользователя HTTP-клиент-библиотека для Python. Начиная с версии 1.0 и до 2.6.0, Streaming API неправильно обрабатывает сильно сжатые данные. Потоковый API urllib3 предназначен для эффективной обработки больших ответов HTTP путем чтения контента в куски, а не для загрузки всего тела отклика в память сразу. При потоковой трансляции сжатого ответа urllib3 может выполнять декодирование или декомпрессию на основе заголовка HTTP-контент-кодирования (например, gzip, дефлейт, br или zstd). Библиотека должна читать сжатые данные из сети и распаковывать их до тех пор, пока не будет выполнен запрошенный размер куска. Любые полученные декомпрессованные данные, превышающие запрашиваемые суммы, удерживаются во внутреннем буфере для следующей операции чтения. Логика декомпрессии может привести к тому, что urllib3 полностью расшифрует небольшое количество высоко сжатых данных за одну операцию. Это может привести к чрезмерному потреблению ресурсов (высокое использование процессора и массовое распределение памяти для декомпрессированных данных.

Теги · CWE
Без аутентификации
CWE-409
Затронутые продукты
Urllib3 1.0–2.6.0
Вектор CVSS
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Хронология
2025-01-01
Опубликована
2025-01-01
Обновлена
Разбор CVSS 3.1
Вектор атаки
AV: N
Сеть (N)
Сложность атаки
AC: L
Низкая (L)
Требования к атаке
AT: P
Present
Требуемые привилегии
PR: N
Отсутствуют (N)
Взаимодействие с пользователем
UI: N
Отсутствует (N)
Конфиденциальность уязвимой системы
VC: N
Отсутствует (N)
Целостность уязвимой системы
VI: N
Отсутствует (N)
Доступность уязвимой системы
VA: H
Высокое (H)
Конфиденциальность последующей системы
SC: N
Отсутствует (N)
Целостность последующей системы
SI: N
Отсутствует (N)
Доступность последующей системы
SA: H
Высокое (H)
Зрелость эксплойт-кода
E: X
Not Defined
Требование конфиденциальности
CR: X
Not Defined
Требование целостности
IR: X
Not Defined
Требование доступности
AR: X
Not Defined
Модифицированный вектор атаки
MAV: X
Not Defined
Модифицированная сложность атаки
MAC: X
Not Defined
Модифицированные требования к атаке
MAT: X
Not Defined
Модифицированные требуемые привилегии
MPR: X
Not Defined
Модифицированное взаимодействие с пользователем
MUI: X
Not Defined
Модифицированная конфиденциальность уязвимой системы
MVC: X
Not Defined
Модифицированная целостность уязвимой системы
MVI: X
Not Defined
Модифицированная доступность уязвимой системы
MVA: X
Not Defined
Модифицированная конфиденциальность последующей системы
MSC: X
Not Defined
Модифицированная целостность последующей системы
MSI: X
Not Defined
Модифицированная доступность последующей системы
MSA: X
Not Defined
s
S: X
X
au
AU: X
X
r
R: X
X
v
V: X
X
re
RE: X
X
u
U: X
X
Индикаторы эксплуатации
EPSS
0.005 · p40
Известна эксплуатация (KEV)
Нет
Проверки Сканер-ВС
Проверок Сканер-ВС для этой уязвимости в базе пока нет.
Затронутые продукты
Debian
Python-urllib3
Canonical
Python-pipPython-urllib3
Python
Urllib3
ПродуктВендорСтатус
Отслеживается
python-pipОтслеживается
python-pipОтслеживается
python-pipОтслеживается
python-pipОтслеживается
python-urllib3Отслеживается
python-urllib3Отслеживается
python-urllib3Отслеживается
python-urllib3Отслеживается
python-urllib3Отслеживается
python-urllib3Отслеживается
python-urllib3Отслеживается
python-urllib3Отслеживается
urllib3*Отслеживается
Источники данных
ANC
DEB
CVE
UBU
Связанные уязвимости
BDU:2026-03452