CVE-2024-52304
Açıklama
aiohttp, asyncio ve Python için asenkron bir HTTP istemci/sunucu çerçevesidir. 3.10.11 sürümünden önce, Python ayrıştırıcısı chunk uzantılarındaki yeni satırları yanlış şekilde ayrıştırmaktadır; bu durum belirli koşullar altında istek kaçakçılığı (request smuggling) zafiyetlerine yol açabilir. Eğer aiohttp'nin saf Python sürümü yüklüyse (yani olağan C uzantıları olmadan) veya `AIOHTTP_NO_EXTENSIONS` etkinleştirilmişse, bir saldırgan belirli güvenlik duvarlarını veya proxy korumalarını atlatmak için bir istek kaçakçılığı saldırısı gerçekleştirebilir. 3.10.11 sürümü bu sorunu düzeltmektedir.
Nasıl düzeltilir
- aiohttp aiohttp3.10.11 ya da sonraki bir sürüm
- aiohttp3.10.11 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| aiohttp aiohttp | v < 3.10.11 | 3.10.11 |
| aiohttpPyPI | v < 3.10.11 | 3.10.11 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.