Python urllib3 – ungeschützte Dekompression von Redirect-Antworten (Decompression Bomb)

Beschreibung

In der Python-HTTP-Client-Bibliothek urllib3 ab Version 1.22 und vor 2.6.3 wird bei HTTP-Redirect-Antworten der gesamte Antworttext gelesen und der Inhalt unnötig dekomprimiert, noch bevor Lesemethoden aufgerufen werden; konfigurierte Leselimits begrenzen die Menge der dekomprimierten Daten dabei nicht. Dadurch fehlt ein Schutz gegen Dekompressionsbomben, und ein bösartiger Server kann so einen übermässigen Ressourcenverbrauch beim Client auslösen. Betroffen sind Anwendungen, die Inhalte aus nicht vertrauenswürdigen Quellen mit preload_content=False streamen, ohne Redirects zu deaktivieren. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 2.8 %. Empfohlene Massnahme: Auf mindestens urllib3 v2.6.3 aktualisieren; ist ein Update nicht sofort möglich, Redirects für Anfragen an nicht vertrauenswürdige Quellen mit redirect=False deaktivieren.

Changelog

1. 2026-07-19 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Python

• TanStack npm-Pakete – Supply-Chain-Kompromittierung KEV CVE-2026-45321
• Sweet32 – DES/Triple-DES Birthday-Angriff (CVE-2016-2183) CVE-2016-2183
• zlib – Speicherbeschädigung beim Komprimieren (deflate) vor Version 1.2.12 CVE-2018-25032
• CVE-2009-3720 – Denial of Service in libexpat (Expat) CVE-2009-3720
• ABB Arctic ARM600 – Sicherheitslücke (CVE-2023-24329) CVE-2023-24329
• Visual Studio Code Python Extension Remote Code Execution CVE-2020-1171