urllib3: Chunked Deflate streaming can enter an infinite loop
Noroxi değerlendirmesi
Öncelik: İzleyin (aksiyon skoru 27/100)
- İzlediğimiz kaynaklarda (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) herkese açık istismar kodu ya da sahada sömürü kaydı yok.
- Önümüzdeki 30 günde sömürülme olasılığı %0,29 (FIRST EPSS).
- İnternetten erişebilen herkes tetikleyebilir. Hesap ya da parola gerekmez. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
- CISA'ya göre saldırı otomatikleştirilebilir: toplu taramalarla hedef bulunabilir.
- Düzeltilmiş sürüm: urllib3 urllib3 2.8.0.
Şimdilik düşük öncelik. urllib3 urllib3 2.8.0 ya da daha yeni sürüme yükseltin.
Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz
Birincil kaynaklar: NVD · CVE.org · FIRST EPSS
urllib3 is an HTTP client library for Python. From 2.6.2 until 2.8.0, HTTPResponse.stream and HTTPResponse.read_chunked can enter an infinite loop because the Deflate decoder retains trailing bytes as unconsumed input after reaching end-of-stream and repeatedly decodes them without progress. The issue occurs when an untrusted server sends a chunked Deflate response whose decoded body exceeds a positive finite chunk size and whose encoded body has trailing bytes, specifically a response with Transfer-Encoding: chunked and Content-Encoding: deflate, content decoding enabled, and the positive finite amt=N streaming chunk size. The attack mechanism is that a malicious server returns a compressed chunked response with trailing bytes after the Deflate stream. The impact is excessive CPU usage and a request that does not complete, and network read timeouts do not interrupt the loop because no further socket read occurs. This issue is fixed in version 2.8.0.
- Yayın
- 29 Eyl 2026
- Güncelleme
- 13 Eki 2026
- EPSS
- %0,2 · 20. yüzdelik
- CWE
- CWE-835
Rapor araçları
Aksiyon skoru
27
İzleyin
Şimdilik düşük öncelik.
- CVSS
- 27 / 40 · 6.9 / 10
- CISA KEV
- 0 / 30 · Listede değil
- EPSS
- 0 / 30 · %0,2
CISA SSVC kararı
- Sömürü
- yok
- Otomatikleştirilebilir
- evet
- Teknik etki
- kısmi
Vulnrichment: CISA'nın karar ağacı girdileri.
CNA ile NVD puanı
- NVD
- —
- CNA · GitHub_M
- 6,9
- NVD henüz kendi puanını vermedi; gösterilen puan CNA’nın.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.
Bu kayıt değişirse haber alın
- KEV'de değil: sahada sömürü kaydı yok
- Herkese açık istismar kodu kaydı yok
- Düzeltme yayımlandı
Bunlardan biri değişirse günlük e-posta özetinde haber veririz.
WordPress siteniz mi var? WP Lens ile ücretsiz tarayın
Noroxi analizi
Sizin ortamınızda ne anlama geliyor?
Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.
Bu ürünü kullanıyoruz, yardım isteyinEtkilenen sistemler
Sürümünüz etkileniyor mu?
Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.
| Üretici | Ürün | CPE |
|---|---|---|
| python | urllib3 | cpe:2.3:a:python:urllib3 |
Etkilenen sürümler
NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.
- python urllib32.6.2 ve sonrası · 2.8.0 öncesi
Üreticinin bildirdiği sürümler
Kaydı açan otorite (GitHub_M) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.
urllib3 urllib3
- >= 2.6.2, < 2.8.0etkilenir
Paket düzeyi etkilenme
OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.
| Ekosistem | Paket | Etkilenen aralık | Düzeltme |
|---|---|---|---|
| Debian:14 | python-urllib3 | 2.8.0-1 öncesi | 2.8.0-1 |
| openSUSE:Leap 16.0 | python-urllib3 | 2.5.0-160000.8.1 öncesi | 2.5.0-160000.8.1 |
| openSUSE:Tumbleweed | python-urllib3 | 2.8.0-1.1 öncesi | 2.8.0-1.1 |
| openSUSE:Tumbleweed | python-urllib3_1 | 1.26.20-8.1 öncesi | 1.26.20-8.1 |
| PyPI | urllib3 | 2.6.2 itibarıyla · 2.8.0 öncesi | 2.8.0 |
| Red Hat:hummingbird:1 | python-urllib3 | 0:2.8.0-1.hum1 öncesi | 0:2.8.0-1.hum1 |
| Red Hat:hummingbird:1 | python3-urllib3 | 0:2.8.0-1.hum1 öncesi | 0:2.8.0-1.hum1 |
| Red Hat:hummingbird:1 | python3-urllib3+brotli | 0:2.8.0-1.hum1 öncesi | 0:2.8.0-1.hum1 |
| Red Hat:hummingbird:1 | python3-urllib3+h2 | 0:2.8.0-1.hum1 öncesi | 0:2.8.0-1.hum1 |
| Red Hat:hummingbird:1 | python3-urllib3+socks | 0:2.8.0-1.hum1 öncesi | 0:2.8.0-1.hum1 |
| Red Hat:hummingbird:1 | python3-urllib3+zstd | 0:2.8.0-1.hum1 öncesi | 0:2.8.0-1.hum1 |
| SUSE:Linux Enterprise Micro 5.3 | python-urllib3 | 1.25.10-150300.4.33.1 öncesi | 1.25.10-150300.4.33.1 |
| SUSE:Linux Enterprise Module for Public Cloud 12 | python-urllib3 | 1.25.10-3.54.1 öncesi | 1.25.10-3.54.1 |
| SUSE:Linux Enterprise Module for Public Cloud 15 SP4 | python-urllib3 | 2.0.7-150400.7.36.1 öncesi | 2.0.7-150400.7.36.1 |
| SUSE:Linux Micro 6.2 | python-urllib3 | 2.5.0-160000.8.1 öncesi | 2.5.0-160000.8.1 |
Aynı üründe
python: tüm kayıtlarAynı birincil ürünün en yüksek skorlu diğer kayıtları.
- CVE-2018-20060urllib3 before version 1.23 does not remove the Authorization HTTP header when following a cross-origin redirect (i.e., a redirect that diff40Planlayın
- CVE-2026-21441urllib3 vulnerable to decompression-bomb safeguard bypass when following HTTP redirects (streaming API)36İzleyin
- CVE-2026-97689urllib3: HTTPResponse.stream()/read_chunked() buffers an unbounded chunk-size line into memory35İzleyin
Bu üründe bundan önce ve sonra yayımlananlar
- ← ÖncekiCVE-2026-4443113 May 2026 · urllib3: Sensitive headers forwarded across origins in proxied low-level redirects32İzleyin
- ← ÖncekiCVE-2026-4443213 May 2026 · urllib3: Decompression-bomb safeguards bypassed in parts of the streaming API35İzleyin
- ← ÖncekiCVE-2026-9768729 Eyl 2026 · urllib3: HTTPS proxy TLS configuration may be ignored or overridden30İzleyin
Düzeltme
Hangi sürüme geçmeli
Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.
| Ürün / paket | Düzeltilmiş sürüm | Kaynak |
|---|---|---|
| urllib3 urllib3 | 2.8.0 · description | Üretici (CNA) |
| debian:python-urllib3 | 2.8.0-1 · Debian:14 | Paket deposu (OSV) |
| opensuse:python-urllib3 | 2.8.0-1.1 · openSUSE:Tumbleweed | Paket deposu (OSV) |
| opensuse:python-urllib3_1 | 1.26.20-8.1 · openSUSE:Tumbleweed | Paket deposu (OSV) |
| PyPI:urllib3 | 2.8.0 | Paket deposu (OSV) |
| red hat:python-urllib3 | 0:2.8.0-1.hum1 · Red Hat:hummingbird:1 | Paket deposu (OSV) |
| red hat:python3-urllib3 | 0:2.8.0-1.hum1 · Red Hat:hummingbird:1 | Paket deposu (OSV) |
| red hat:python3-urllib3+brotli | 0:2.8.0-1.hum1 · Red Hat:hummingbird:1 | Paket deposu (OSV) |
| red hat:python3-urllib3+h2 | 0:2.8.0-1.hum1 · Red Hat:hummingbird:1 | Paket deposu (OSV) |
| red hat:python3-urllib3+socks | 0:2.8.0-1.hum1 · Red Hat:hummingbird:1 | Paket deposu (OSV) |
| red hat:python3-urllib3+zstd | 0:2.8.0-1.hum1 · Red Hat:hummingbird:1 | Paket deposu (OSV) |
| suse:python-urllib3 | 2.5.0-160000.8.1 · SUSE:Linux Micro 6.2 | Paket deposu (OSV) |
İstismar durumu
Bilinen kamuya açık istismar yok
Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.
Araştırma bağlamı
Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.
Zaman çizelgesi
Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.
- Yayın
- Düzeltme kaydıaynı gün
- Bugün21 Eki 2026+21 gün
FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).
Yama ve commit bağlantıları
Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.
Kredi
Tüm araştırmacılarCNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıklayın, aynı araştırmacının diğer kayıtlarını görün.
CNA kaydında kredi yok.
Varyant adayları
Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.
Gece hesaplanan ilişki yok.
Zincir adayları
Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.
—
Bug bounty kapsamı
Bilinen herkese açık program yok.
Kaynak: bounty-targets-data (HackerOne, Bugcrowd, Intigriti, YesWeHack herkese açık listeleri).
Teknik detay
Saldırı koşulları
- İnternetten erişebilen herkes tetikleyebilir.
- Hesap ya da parola gerekmez.
- Kullanıcının bir şey yapması gerekmez.
- Özel bir koşul gerekmez; tekrarlanabilir.
Başarılı olursa
- Gizlilik
- Bütünlük
- Erişilebilirlik
- Saldırı vektörü
- Ağ
- Karmaşıklık
- Düşük
- Gereken yetki
- Yok
- Kullanıcı etkileşimi
- Gerekmez
- Kapsam
- X
Zayıflık sınıfı (CWE)
CWE-835 · Loop with Unreachable Exit Condition ('Infinite Loop')CVSS vektörü
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
nvd-secondary
Saldırı bağlamı
Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.
Bu CWE için MITRE'de CAPEC/ATT&CK eşlemesi yok.
Değişiklik günlüğü
- İstismar olgunluğu— → none
- Düzeltme✗ → ✓
Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →
Referanslar
Tüm referansları göster (2 daha)Daha az göster
Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.