JVNDB-2026-001397

Python Software Foundationのurllib3における高圧縮データの処理 (データ増幅)に関する脆弱性

urllib3はPython向けのHTTPクライアントライブラリです。urllib3のストリーミングAPIは、大きなHTTPレスポンスを一度に全てメモリに読み込む代わりに、チャンク単位でコンテンツを読み取ることで効率的に処理するよう設計されています。urllib3はHTTPヘッダーの`Content-Encoding`（例：`gzip`、`deflate`、`br`、`zstd`）に基づいてデコードや解凍を行うことができます。ストリーミングAPI使用時には必要なバイトのみを解凍し、部分的にコンテンツを消費できるようになっています。バージョン1.22から2.6.3未満の間、HTTPリダイレクトレスポンスに対して、ライブラリは接続をドレインするためにレスポンスボディ全体を読み込み、不必要にコンテンツを解凍していました。この解凍は読み取りメソッドが呼ばれる前に行われ、設定された読み取り制限は解凍データの量を制限しませんでした。そのため、解凍爆弾に対する保護がなく、悪意あるサーバーはこれを悪用してクライアント側で過剰なリソース消費を引き起こす可能性がありました。信頼できないソースからコンテンツをストリーミングし、リダイレクトを無効化しないまま`preload_content=False`を設定しているアプリケーションおよびライブラリが影響を受けます。ユーザーはライブラリをurllib3 v2.6.3以降のバージョンにアップグレードすることを推奨します。このバージョンでは、リダイレクトレスポンスのコンテンツを`preload_content=False`でデコードしません。すぐにアップグレードできない場合は、信頼できないソースへのリクエストで`redirect=False`を設定してリダイレクトを無効にしてください。

Python Software Foundation

• urllib3 1.22 以上 2.6.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Decompression-bomb safeguards bypassed when following HTTP redirects (streaming API)  Advisory  urllib3/urllib3  GitHub

1. 高圧縮データの不適切な処理 (データ増幅)(CWE-409) [その他]

1. CVE-2026-21441

1. National Vulnerability Database (NVD) : CVE-2026-21441
2. 関連文書 : Merge commit from fork  urllib3/urllib3@8864ac4  GitHub

• [2026年01月19日]
    掲載