远程主机上安装的 python-urllib3 版本低于 1.25.9-1。因此，该应用程序受到 ALAS2-2021-1668 公告中提及的漏洞的影响。

  - 如果攻击者控制 HTTP 请求方法，则 1.25.9 之前版本的 urllib3 会允许 CRLF 注入，这一点已通过在 putrequest() 的第一个参数中插入 CR 和 LF 控制字符证实。注意：此问题类似于 CVE-2020-26116。(CVE-2020-26137)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

检测

Amazon Linux 2：python-urllib3 (ALAS-2021-1668)

medium Nessus 插件 ID 150967

未找到变更日志