CVE-2026-97689
urllib3: HTTPResponse.stream()/read_chunked() буферизует строку размера чанка неограниченной длины в памяти
- Опубликовано
- 29 сент. 2026 г.
- Обновлено
- 29 сент. 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 7 окт. 2026 г.
Первичный CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XНизкий · следующие 30 дней
- Процентиль
- 26,6 %
- Дата модели
- 25 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
urllib3 — это клиентская библиотека HTTP для Python. С версии 1.10.3 до 2.8.0 методы HTTPResponse.read_chunked и HTTPResponse.stream могут выделять неограниченный объём памяти, поскольку потоковый парсер чанков буферизует поле размера чанка до символа новой строки или EOF без ограничения длины. Триггером является то, что вредоносный сервер возвращает Transfer-Encoding: chunked, за которым следует очень длинная последовательность байтов без символа новой строки. Механизм атаки заключается в том, что вредоносный HTTP-сервер отправляет очень длинную незавершённую строку размера чанка. Влияние состоит в том, что неограниченное выделение памяти может исчерпать ресурсы клиентского процесса. Эта проблема исправлена в версии 2.8.0.
Источники
- afterimageИсследования
Исследование патч-диффов для опубликованных проблем urllib3: закреплённые релизы, оригинальные офлайн-стенды, поведение до/после и безопасные контрольные примеры.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.