Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Высокий
Патч
Опубликована

CVE-2025-66471

urllib3 Streaming API improperly handles highly compressed data

Публикация: 05.12.2025·Обновлена: 25.09.2026, 20:15·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

urllib3 is a user-friendly HTTP client library for Python. Starting in version 1.0 and prior to 2.6.0, the Streaming API improperly handles highly compressed data. urllib3's streaming API is designed for the efficient handling of large HTTP responses by reading the content in chunks, rather than loading the entire response body into memory at once. When streaming a compressed response, urllib3 can perform decoding or decompression based on the HTTP Content-Encoding header (e.g., gzip, deflate, br, or zstd). The library must read compressed data from the network and decompress it until the requested chunk size is met. Any resulting decompressed data that exceeds the requested amount is held in an internal buffer for the next read operation. The decompression logic could cause urllib3 to fully decode a small amount of highly compressed data in a single operation. This can result in excessive resource consumption (high CPU usage and massive memory allocation for the decompressed data.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

urllib3 / urllib3 

{
  "status": "affected",
  "version": ">= 1.0, < 2.6.0"
}

urllib3 PyPI

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "2.6.0",
  "versionStartIncluding": "1.0"
}

CVSS: оценки и векторы

CVSS 4.0 · cve8.9
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H
AV · Вектор атакисеть
AC · Сложность атакинизкая
AT · Условия атакинужны условия
PR · Привилегиине нужны
UI · Участие пользователяне нужно
VC · Конфиденциальность уязвимой системынет
VI · Целостность уязвимой системынет
VA · Доступность уязвимой системывысокое
SC · Конфиденциальность связанной системынет
SI · Целостность связанной системынет
SA · Доступность связанной системывысокое

Классы CWE

CWE-409 · Неправильная обработка сильно сжатых данных (усиление данных)

Источники и ссылки

Материал · github.com · cveИсправление · github.com · osvМатериал · nvd.nist.gov · osvМатериал · github.com · osvМатериал · pypi.org · osvМатериал · github.com · osvМатериал · github.com · osvМатериал · github.com · osvCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:11:03.752511+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T16:15:12.528961+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T16:15:12.528961+00:00"
  },
  "affected": [
    "cve",
    "osv"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T16:15:12.528961+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:11:03.752511+00:00"
  },
  "references": [
    "cve",
    "osv"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T16:15:12.528961+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены04.11.2026, 00:11
  2. Данные обновлены03.11.2026, 00:10
  3. Появились сведения об исправлении02.11.2026, 15:11
  4. Данные обновлены02.11.2026, 13:38
  5. Данные обновлены02.11.2026, 00:09
  6. Данные обновлены31.10.2026, 11:56
  7. Данные обновлены30.10.2026, 15:09
  8. Данные обновлены29.10.2026, 11:05
  9. Опубликована28.10.2026, 19:15

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2021-33503
Catastrophic backtracking in URL authority parser when passed URL containing many @ characters
urllib3
Информационный—
3,27 %
Патч
29.06.2021
CVE-2026-97689
urllib3: HTTPResponse.stream()/read_chunked() buffers an unbounded chunk-size line into memory
urllib3 / urllib3 · urllib3
Высокий8.9
0,34 %
29.09.2026
CVE-2026-97687
urllib3: HTTPS proxy TLS configuration may be ignored or overridden
urllib3 / urllib3 · urllib3
Высокий7.6
0,21 %
29.09.2026
CVE-2026-97688
urllib3: Chunked Deflate streaming can enter an infinite loop
urllib3 / urllib3 · urllib3
Средний6.9
0,29 %
29.09.2026
CVE-2026-21441
urllib3 vulnerable to decompression-bomb safeguard bypass when following HTTP redirects (streaming API)
urllib3 / urllib3 · Red Hat / Red Hat Enterprise Linux 10
Высокий8.9
2,92 %
Патч
08.01.2026