已开启
[openEuler-20.03-LTS-SP4] backport: Fix decompression-bomb safeguards bypass in streaming API (CVE-2026-9375) #198
[openEuler-20.03-LTS-SP4] backport: Fix decompression-bomb safeguards bypass in streaming API (CVE-2026-9375) #198
已开启
刘德华海淀分华创建于 6月21日
刘德华海淀分华
6月21日

Backport upstream commit 2bdcc44d to fix CVE-2026-9375.

This fixes two high-severity security issues where decompression-bomb safeguards of the streaming API were bypassed. For urllib3 1.x, the fix changes drain_conn() to use read(decode_content=False) to avoid triggering full decompression.

Upstream commit: https://github.com/urllib3/urllib3/commit/2bdcc44d1e163fb5cc48a8662425e35e15adfe6a

关联 issue:
https://gitcode.com/src-openeuler/python-urllib3/issues/43

likedislike
合并受阻
刘德华海淀分华刘德华海淀分华
6月21日 创建了 pull request,commit 8fe750d1
刘德华海淀分华刘德华海淀分华
6月21日 关联了issue:CVE-2026-9375
openeuler-ci-botopeneuler-ci-bot成员
6月21日 将MrRlu,sunsuwan,Apricity_HW,robert-xingwang设为审查人
openeuler-ci-botopeneuler-ci-bot成员
6月21日 添加了label:sig/Networking
openeuler-ci-bot
openeuler-ci-bot成员
6月21日 评论:

Welcome To openEuler Community

Hey @andy-lau , thanks for your contribution to the community.

Bot Usage Manual

I'm the Bot here serving you. You can find the instructions on how to interact with me at Here . That means you can comment below every pull request or issue to trigger Bot Commands.

Contact Guide

If you have any questions, please contact the SIG: Networking ,
and any of the maintainers: @Apricity_HW, @MrRlu, @robert-xingwang, @sunsuwan ,
and any of the committers: @jiangheng12138, @zhongxuan2 .

likedislike
openeuler-ci-botopeneuler-ci-bot成员
6月21日 添加了label:openeuler-cla/yes
openeuler-ci-bot
openeuler-ci-bot成员
6月21日 评论:

门禁正在运行, 您可以通过以下链接查看实时门禁检查结果.
若您对门禁结果含义不清晰或者遇到问题不知如何解决,可参考门禁指导手册
门禁入口及编码规范检查: multiarch/src-openeuler/trigger/python-urllib3/152/console

likedislike
openeuler-ci-botopeneuler-ci-bot成员
6月21日 添加了label:ci_processing
openeuler-ci-bot
openeuler-ci-bot成员
6月21日 评论:

当前仓库存在以下 保护分支

Protected Branch Version Release
master 2.3.0 8
openEuler-20.03-LTS-SP4 1.25.9 17
openEuler-22.03-LTS-SP4 1.26.12 13
openEuler-24.03-LTS-SP4 1.26.18 8
openEuler-24.03-LTS-SP3 1.26.18 8
openEuler-24.03-LTS-Next 1.26.18 8
openEuler-24.03-LTS-SP1 1.26.18 8
Multi-Version_OpenStack-Antelope_openEuler-24.03-LTS-SP4 1.26.12 6
Multi-Version_OpenStack-Wallaby_openEuler-24.03-LTS-SP4 1.26.12 1
Multi-Version_OpenStack-Antelope_openEuler-24.03-LTS-SP3 1.26.12 6
Multi-Version_OpenStack-Wallaby_openEuler-24.03-LTS-SP3 1.26.12 1
Multi-Version_OpenStack-Wallaby_openEuler-24.03-LTS-SP2 1.26.12 1
Multi-Version_OpenStack-Wallaby_openEuler-24.03-LTS-SP1 1.26.12 1
Multi-Version_OpenStack-Wallaby_openEuler-24.03-LTS-Next 1.26.12 1
Multi-Version_OpenStack-Wallaby_openEuler-24.03-LTS 1.26.3 5
Multi-Version_OpenStack-Wallaby_openEuler-22.03-LTS-SP4 1.26.3 6
Multi-Version_OpenStack-Wallaby_openEuler-22.03-LTS-SP3 1.26.3 5
Multi-Version_OpenStack-Wallaby_openEuler-22.03-LTS-SP2 1.26.3 5
Multi-Version_OpenStack-Wallaby_openEuler-22.03-LTS-SP1 1.26.3 5
Multi-Version_OpenStack-Wallaby_openEuler-22.03-LTS-Next 1.26.3 5
Multi-Version_OpenStack-Wallaby_openEuler-22.03-LTS 1.26.3 4
Multi-Version_OpenStack-Train_openEuler-22.03-LTS-SP4 1.25.9 5
Multi-Version_OpenStack-Train_openEuler-22.03-LTS-SP3 1.25.9 5
Multi-Version_OpenStack-Train_openEuler-22.03-LTS-SP2 1.25.9 5
Multi-Version_OpenStack-Train_openEuler-22.03-LTS-SP1 1.25.9 5
Multi-Version_OpenStack-Train_openEuler-22.03-LTS-Next 1.25.9 5
Multi-Version_OpenStack-Train_openEuler-22.03-LTS 1.25.9 5
Multi-Version_OpenStack-Antelope_openEuler-25.03 1.26.12 6
Multi-Version_OpenStack-Antelope_openEuler-24.03-LTS-SP2 1.26.12 6
Multi-Version_OpenStack-Antelope_openEuler-24.03-LTS-SP1 1.26.12 6
Multi-Version_OpenStack-Antelope_openEuler-24.03-LTS-Next 1.26.12 6
Multi-Version_OpenStack-Antelope_openEuler-24.03-LTS 1.26.12 6
openEuler1.0-base 1.24.3 2
openEuler1.0 1.24.3 2

评论 /sync <branch1> <branch2> ... 可将当前 PR 修改同步到其它分支(创建同步 PR):
a) 如果当前 PR 是 Open 状态,同步操作将延迟到 PR 被合并时执行
b) 如果当前 PR 已经 Merged,将立即执行同步操作

注意:

  1. /sync 命令可以指定同步到多个分支,仅最后一个 /sync 命令生效
  2. 如果创建的同步 PR 不正确,可通过向同步 PR 的源分支提交轻量级 PR 完善,或使用 /close 命令关闭
likedislike
openeuler-ci-bot
openeuler-ci-bot成员
6月21日 评论:

x86_64架构构建及构建后检查:multiarch/src-openeuler/x86-64/python-urllib3/152/console

likedislike
openeuler-ci-bot
openeuler-ci-bot成员
6月21日 评论:

aarch64架构构建及构建后检查:multiarch/src-openeuler/aarch64/python-urllib3/152/console

likedislike
openeuler-ci-botopeneuler-ci-bot成员
6月21日 删除了label:ci_processing
openeuler-ci-bot
openeuler-ci-bot成员
6月21日 评论:
Check Name Build Result Build Details
check_binary_file SUCCESS #152
check_lfsconfig :ballot_box_with_check:EXCLUDE
check_package_yaml_file SUCCESS
check_repo_in_maintain SUCCESS
check_consistency SUCCESS
check_spec_file SUCCESS
x86_64 check_build FAILED #152
aarch64 check_build FAILED #152
likedislike
openeuler-ci-botopeneuler-ci-bot成员
6月21日 添加了label:ci_failed
openeuler-ci-bot
openeuler-ci-bot成员
6月21日 评论:
likedislike
刘德华海淀分华刘德华海淀分华
6月21日 update merge request[project id: 7686812, iid: 198, commit_id: 8720c43ab0598a58f9dc0e9ddccaf038806b0851] virtual merging success
刘德华海淀分华刘德华海淀分华
6月21日 强制推送  1 个提交:0776353c-backport: Fix decompression-bomb safeguards bypass in streaming API (CVE-2026-9375)
刘德华海淀分华刘德华海淀分华
6月21日 update merge request[project id: 7686812, iid: 198, commit_id: 85aa48f4880ddd703ac4d17a6b12cc7d9608a884] virtual merging success
openeuler-ci-botopeneuler-ci-bot成员
6月21日 删除了label:openeuler-cla/yes
openeuler-ci-botopeneuler-ci-bot成员
6月21日 添加了label:openeuler-cla/yes
openeuler-ci-bot
openeuler-ci-bot成员
6月21日 评论:

CLA Signature Pass

andy-lau, thanks for your pull request. All authors of the commits have signed the CLA. 👍

likedislike
openeuler-ci-bot
openeuler-ci-bot成员
6月21日 评论:

门禁正在运行, 您可以通过以下链接查看实时门禁检查结果.
若您对门禁结果含义不清晰或者遇到问题不知如何解决,可参考门禁指导手册
门禁入口及编码规范检查: multiarch/src-openeuler/trigger/python-urllib3/159/console

likedislike
openeuler-ci-botopeneuler-ci-bot成员
6月21日 删除了label:ci_failed
openeuler-ci-botopeneuler-ci-bot成员
6月21日 添加了label:ci_processing
openeuler-ci-bot
openeuler-ci-bot成员
6月21日 评论:

aarch64架构构建及构建后检查:multiarch/src-openeuler/aarch64/python-urllib3/159/console

likedislike
openeuler-ci-bot
openeuler-ci-bot成员
6月21日 评论:

x86_64架构构建及构建后检查:multiarch/src-openeuler/x86-64/python-urllib3/159/console

likedislike
openeuler-ci-botopeneuler-ci-bot成员
6月21日 删除了label:ci_processing
openeuler-ci-bot
openeuler-ci-bot成员
6月21日 评论:
Check Name Build Result Build Details
check_binary_file SUCCESS #159
check_lfsconfig :ballot_box_with_check:EXCLUDE
check_package_yaml_file SUCCESS
check_repo_in_maintain SUCCESS
check_consistency SUCCESS
check_spec_file SUCCESS
x86_64 check_build SUCCESS #159
check_install SUCCESS
check_license SUCCESS
aarch64 check_build SUCCESS #159
check_install SUCCESS
check_license SUCCESS
likedislike
openeuler-ci-botopeneuler-ci-bot成员
6月21日 添加了label:ci_successful
openeuler-ci-bot
openeuler-ci-bot成员
6月21日 评论:

如下为接口变更检查结果,目标分支为openEuler-20.03-LTS-SP4,请PR提交者check差异信息

Arch Name Check Items Rpm Name Check Result Build Details
compare_package(x86_64) add_rpms SUCCESS #159
delete_rpms SUCCESS
rpm_files SUCCESS
rpm_provides SUCCESS
rpm_requires SUCCESS
compare_package(aarch64) add_rpms SUCCESS #159
delete_rpms SUCCESS
rpm_files SUCCESS
rpm_provides SUCCESS
rpm_requires SUCCESS
likedislike
openeuler-ci-bot
openeuler-ci-bot成员
6月21日 评论:
likedislike
刘德华海淀分华
刘德华海淀分华
6月23日 评论:

@MrRlu @sunsuwan @Apricity_HW 各位老师好,请各位老师review

likedislike
tangce2025
tangce2025
6月24日 评论:

请在补丁头中指明是否有适配以及reference来源
Conflict: xxx
Reference: 上游社区链接

likedislike
tangce2025
tangce2025
6月25日 评论:

对应分支已合入,关闭PR

likedislike