CVE-2016-6580 是 Python priority 库中发现的一个内存耗尽漏洞。该漏洞允许攻击者通过恶意HTTP/2对等方，强制分配所有HTTP/2流ID的优先级信息，导致程序分配无限内存并消耗大量CPU资源，最终可能导致服务崩溃。该漏洞影响 Python priority 库版本小于等于 1.1.1 的系统，已于 1.2.0 版本修复。
该漏洞的潜在影响是严重的。攻击者可以利用该漏洞发起拒绝服务 (DoS) 攻击，通过耗尽服务器内存，使其无法响应合法请求。更严重的是，如果攻击者能够利用该漏洞获取服务器控制权，则可能导致数据泄露或其他恶意行为。由于该漏洞与 HTTP/2 协议相关，因此任何使用 Python priority 库处理 HTTP/2 流量的应用程序都可能受到影响。该漏洞的利用方式类似于某些 HTTP/2 协议解析漏洞，可能导致服务器资源耗尽。
该漏洞已公开披露，并且存在潜在的利用风险。目前尚未发现该漏洞被大规模利用的证据，但由于其影响的严重性，建议尽快采取缓解措施。该漏洞尚未被添加到 CISA KEV 目录中，但由于其潜在的风险，应密切关注其发展情况。公开的 PoC 尚未发现，但理论上利用该漏洞进行 DoS 攻击是可行的。
漏洞利用状态
EPSS
0.48% (65% 百分位)
CVSS 向量
缓解此漏洞的首要措施是立即升级 Python priority 库至 1.2.0 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制 HTTP/2 连接的数量，监控服务器内存使用情况，并配置防火墙规则以阻止来自可疑来源的 HTTP/2 流量。此外，可以考虑使用 WAF（Web Application Firewall）来检测和阻止恶意 HTTP/2 请求。升级后，请确认升级是否成功，并检查服务器是否仍然能够正常处理 HTTP/2 流量。
暂无官方补丁。请查找临时解决方案或持续关注更新。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2016-6580 是 Python priority 库版本小于等于 1.1.1 中发现的一个内存耗尽漏洞，攻击者可利用恶意 HTTP/2 对等方导致无限内存分配。
如果您正在使用 Python priority 库的版本小于等于 1.1.1，则您可能受到此漏洞的影响。请立即升级至 1.2.0 或更高版本。
升级 Python priority 库至 1.2.0 或更高版本是修复此漏洞的最佳方法。
目前尚未发现该漏洞被大规模利用的证据，但由于其影响的严重性，建议尽快采取缓解措施。
请访问 Python Priority 库的官方 GitHub 仓库或 PyPI 页面，查找有关此漏洞的公告和修复信息。
上传你的 requirements.txt 文件，立即知道是否受影响。