CVE-2024-23334
Açıklama
aiohttp, asyncio ve Python için eşzamansız bir HTTP istemci/sunucu çerçevesidir. aiohttp bir web sunucusu olarak kullanıldığında ve statik rotalar yapılandırıldığında, statik dosyalar için kök yolun belirtilmesi gerekir. Ayrıca, 'follow_symlinks' seçeneği statik kök dizini dışındaki sembolik bağlantıların izlenip izlenmeyeceğini belirlemek için kullanılabilir. 'follow_symlinks' True olarak ayarlandığında, bir dosyanın okunmasının kök dizin içinde olup olmadığını denetleyen herhangi bir doğrulama yoktur. Bu, dizin geçişi güvenlik açıklarına yol açabilir ve sembolik bağlantılar mevcut olmasa bile sistemdeki rastgele dosyalara yetkisiz erişimle sonuçlanabilir. follow_symlinks'in devre dışı bırakılması ve ters proxy kullanılması önerilen hafifletme yöntemleridir. Sürüm 3.9.2 bu sorunu düzeltir.
Nasıl düzeltilir
- aiohttp aiohttp3.9.2 ya da sonraki bir sürüm
- aiohttp3.9.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| aiohttp aiohttp | 1.0.5 ≤ v < 3.9.2 | 3.9.2 |
| fedoraproject fedora | 39 | — |
| aiohttpPyPI | 1.0.5 ≤ v < 3.9.2 | 3.9.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.