CVE-2024-42367
Açıklama
aiohttp, asyncio ve Python için asenkron bir HTTP istemci/sunucu çerçevesidir. 3.10 dalının 3.10.2 sürümünden önceki versiyonlarında, sıkıştırılmış varyantlar içeren (.gz veya .br uzantılı) statik rotalar, bu varyantların sembolik bağlantılar olması durumunda kök dizinin dışına çıkan yol aşımı (path traversal) zafiyetine sahiptir. Sunucu, follow_symlinks=False (varsayılan) olduğunda statik rotaları kök dizin dışındaki yol aşımından korur. Bunu, istenen URL'yi mutlak bir yola çözümleyerek ve ardından bu yolu köke göre kontrol ederek yapar. Ancak, FileResponse sınıfında sıkıştırılmış varyantlar aranırken bu kontroller gerçekleştirilmez ve dosyayı göndermek için Path.stat() ve Path.open() işlemleri yapılırken sembolik bağlantılar otomatik olarak takip edilir. 3.10.2 sürümü, bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- aiohttp aiohttp3.10.2 ya da sonraki bir sürüm
- aiohttp3.10.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| aiohttp aiohttp | 3.10.0 ≤ v < 3.10.2 | 3.10.2 |
| aiohttpPyPI | 3.10.0b1 ≤ v < 3.10.2 | 3.10.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.