リモートの Ubuntu 18.04 ESM / 20.04 ESM ホストには、USN-5386-1 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - aiohttp は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。バージョン 3.7.4 より前の aiohttp には、オープンリダイレクトの脆弱性があります。aiohttpベースのWebサーバーへの悪意を持って細工されたリンクが、ブラウザを別のWebサイトにリダイレクトする可能性があります。これは、`aiohttp.web_middlewares.normalize_path_middleware` ミドルウェアのバグによって引き起こされます。このセキュリティの問題は、3.7.4 で修正されています。pip install aiohttp >= 3.7.4 のように、pip を使用して依存関係をアップグレードしてください。アップグレードを選択しない場合は、アプリケーションで `aiohttp.web_middlewares.normalize_path_middleware` の使用を避けることで回避できます。(CVE-2021-21330)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Ubuntu 18.04 ESM / 20.04 ESM : AIOHTTP の脆弱性 (USN-5386-1)

medium Nessus プラグイン ID 183140

バージョン 1.0