Python-urllib3 漏洞: CVE-2025-66418, CVE-2025-66471, CVE-2026-21441

• 安全公告編號: SA2026-005
• 版本: 1.0
• 發布日期: 2026-09-16
• 參考資料:
  • 紅帽產品安全中心
  • Common Weakness Enumeration

摘要

CVE-2025-66418:
Python 函式庫 urllib3 中發現了一個可能導致拒絕服務攻擊的漏洞。遠端惡意伺服器可以利用此漏洞，向用戶端請求發送一條使用過多鍊式壓縮演算法的 HTTP 訊息。這種無限的解壓縮鏈會導致客戶端系統消耗幾乎無限量的 CPU 資源和記憶體。資源佔用過高會導致服務中斷，使應用程式無回應。

CVE-2025-66471:
urllib3 中發現了一個解壓縮處理缺陷。當傳輸壓縮回應時，urllib3 會根據 HTTP 內容編碼頭（例如 gzip、deflate、br 或 zstd）執行解碼或解壓縮操作。該庫必須從網路讀取壓縮資料並進行解壓縮，直到達到請求的資料塊大小。任何超出請求大小的解壓縮資料都會被保存在內部緩衝區中，以供下次讀取操作使用。這種解壓縮邏輯可能導致 urllib3 在一次操作中完全解碼少量高度壓縮的資料。即使應用程式僅請求了一小部分數據，這也會導致客戶端資源消耗過高（CPU 使用率高，且解壓縮資料佔用大量記憶體；CWE-409）。

CVE-2026-21441:
urllib3 是一個用於 Python 的 HTTP 用戶端函式庫。 urllib3 的串流 API 旨在透過分塊讀取內容而非一次性將整個響應體載入到記憶體中來高效處理大型 HTTP 回應。 urllib3 可以根據 HTTP `Content-Encoding` 標頭（例如 `gzip`、`deflate`、`br` 或 `zstd`）執行解碼或解壓縮。使用串流 API 時，此程式庫僅解壓縮必要的字節，從而實現部分內容讀取。從 1.22 版本到 2.6.3 版本之前，對於 HTTP 重定向回應，該程式庫會讀取整個回應體以耗盡連線並進行不必要的解壓縮。這種解壓縮甚至在呼叫任何讀取方法之前就已經發生，而且配置的讀取限制也無法限制解壓縮資料量。因此，無法防止解壓縮炸彈。惡意伺服器可以利用此漏洞觸發客戶端資源過度消耗。當應用程式和函式庫從不受信任的來源串流內容時，如果未停用重定向，則設定 `preload_content=False` 會導致問題。使用者應升級到至少 urllib3 v2.6.3 版本，該版本在 `preload_content=False` 的情況下不會解碼重定向回應的內容。如果暫時無法升級，請透過將對不受信任來源的請求設定 `redirect=False` 來停用重定向。

 

CVE ID	CVSS v3 評分	嚴重性	安全漏洞類型
CVE-2025-66418	7.5	高	CWE-770 無限製或無節流的資源分配
CVE-2025-66471	7.5	高	CWE-409 對高度壓縮資料處理不當(資料放大)
CVE-2026-21441	7.5	高	CWE-409 對高度壓縮資料處理不當(資料放大)

影響範圍

CVE ID	組件	系統	狀態
CVE-2025-66418	Python-urllib3	Red Hat Enterprise Linux 8 Red Hat Enterprise Linux 9	已修復
CVE-2025-66471	Python-urllib3	Red Hat Enterprise Linux 8 Red Hat Enterprise Linux 9	已修復
CVE-2026-21441	Python-urllib3	Red Hat Enterprise Linux 8 Red Hat Enterprise Linux 9	已修復

---

解決方案

核心及套件完整更新

緩解措施

CVE-2025-66418:
無

CVE-2025-66471:
無

CVE-2026-21441:
無

相關產品

SCADA9 x86_64
SCADA8 x86_64