1. 漏洞描述

针对Python的易用型HTTP客户端的安全修复：

urllib3 是Python的一个用户友好的HTTP客户端库。当使用urllib3的代理支持（如ProxyManager）时，Proxy-Authorization头部仅被发送到配置的代理，这是符合预期的。然而，在不使用urllib3的代理支持发送HTTP请求时，可能会意外地配置Proxy-Authorization头部，尽管该请求并未使用转发代理或隧道代理，因此该头部不会有任何效果。在这些情况下，urllib3不会将Proxy-Authorization HTTP头部视为携带认证信息的头部，因此在跨源重定向时不会剥离该头部。由于这种情况极不可能发生，我们认为这一漏洞对几乎所有用户的严重性都很低。但出于谨慎考虑，urllib3将在跨源重定向时自动剥离Proxy-Authorization头部，以避免用户意外操作带来的小风险。

用户应使用urllib3的代理支持或禁用自动重定向来实现对Proxy-Authorization头部的安全处理，但我们仍然决定默认剥离该头部，以进一步保护未使用正确方法的用户。我们认为受此公告影响的用例数量很少。要利用此漏洞，必须同时满足以下条件：

在不使用urllib3内置代理支持的情况下设置Proxy-Authorization头部。
未禁用HTTP重定向。
不使用HTTPS源服务器，或者代理或目标源重定向到恶意源。
建议用户更新到1.26.19或2.2.2版本。无法升级的用户可以在使用urllib3的ProxyManager时保留Proxy-Authorization头部，在发送请求时将redirects=False以禁用HTTP重定向，或者不使用Proxy-Authorization头部作为缓解措施。（CVE-2024-37891）

2. 影响范围

3. 影响组件

4. 修复版本

5. 修复方法

方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm

方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名

6. 下载链接

KY3.5.2:

x86_64:

     python3-urllib3   

aarch64:

     python3-urllib3