CVE-2026-97688 in urllib3
要約
〜によって VulDB • 2026年09月29日
urllib3はPython用のHTTPクライアントライブラリです。バージョン2.6.2から2.8.0の間、Deflateデコーダがストリームの終了に達した後で末尾のバイトを未消費の入力として保持し、それらを進捗なしで繰り返しデコードするため、HTTPResponse.streamおよびHTTPResponse.read_chunkedが無限ループに入ることがあります。この問題は、信頼できないサーバーから、デコードされたボディサイズが正の有限チャンクサイズを超え、エンコードされたボディに末尾バイトを含むチャンク化Deflateレスポンス（Transfer-Encoding: chunked および Content-Encoding: deflate が指定され、コンテンツデコーディングが有効で、ストリーミングチャンクサイズとして正の有限値 amt=N が設定されている場合）が送信される際に発生します。攻撃メカニズムは、悪意のあるサーバーがDeflateストリーム後に末尾バイトを含む圧縮されたチャンクレスポンスを返すことです。影響としては、CPU使用率の過剰な増加とリクエストの完了不能があり、さらにソケット読み込みが発生しないためネットワーク読込タイムアウトでもループは中断されません。この問題はバージョン2.8.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.