CVE-2021-3733

ŚrednieCVSS 6.5

Opublikowano: 10/03/2022(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

4.68%

Percentyl 92 - wyżej niż 92% wszystkich znanych CVE

Streszczenie

W klasie AbstractBasicAuthHandler w urllib istnieje błąd, który pozwala atakującemu kontrolującemu złośliwy serwer HTTP na wywołanie Regular Expression Denial of Service (ReDoS) podczas żądania uwierzytelnienia ze specjalnie spreparowanym ładunkiem wysyłanym przez serwer do klienta. Największe zagrożenie stanowi dla dostępności aplikacji.

Ocena ryzyka

Atakujący może spowodować niedostępność aplikacji (DoS) poprzez przeciążenie wyrażenia regularnego, co może prowadzić do przerwania działania usługi.

Rekomendacja

Zaktualizuj bibliotekę urllib do wersji, która zawiera poprawkę na tę podatność, lub zastosuj ograniczenia czasowe dla wyrażeń regularnych.

Inne podatności w urllib

CVE-2026-55553Wysokie
urllib dla Node.js przed wersjami 4.9.1 i 2.44.1 podczas przekierowań ponownie używa opcji dostarczonych przez wywołującego, w tym nagłówków autoryzacyjnych i danych uwierzytelniających, nawet gdy cel przekierowania ma inny schemat, host lub port. Może to spowodować wysłanie wrażliwych danych uwierzytelniających do kontrolowanej przez atakującego domeny. Problem naprawiono w wersjach 2.44.1 i 4.9.1.

Oryginalny opis (angielski, źródło NVD)

There's a flaw in urllib's AbstractBasicAuthHandler class. An attacker who controls a malicious HTTP server that an HTTP client (such as web browser) connects to, could trigger a Regular Expression Denial of Service (ReDOS) during an authentication request with a specially crafted payload that is sent by the server to the client. The greatest threat that this flaw poses is to application availability.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS