CVE-2026-97689

总结

urllib3 是一个用于 Python 的 HTTP 客户端库。从 1.10.3 到 2.8.0 版本，HTTPResponse.read_chunked 和 HTTPResponse.stream 方法可能会分配无界内存，因为流式分块解析器会缓冲 chunk-size 字段，直到遇到换行符或 EOF，而没有长度限制。触发条件是恶意服务器返回 Transfer-Encoding: chunked，随后跟一长串没有换行符的字节。攻击机制是恶意 HTTP 服务器发送一行非常长的、未终止的 chunk-size。其影响是无界内存分配可能耗尽客户端进程。此问题已在 2.8.0 版本中修复。

来源

• afterimage研究

  针对已发布的 urllib3 问题的补丁差异研究：固定版本、原始离线测试框架、前后行为及良性对照。