リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:0577-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - aiohttp は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。AIOHTTP の HTTP パーサーには、ヘッダー解析に関する多くの問題があり、リクエストのスマグリングを引き起こす可能性があります。このパーサーは、AIOHTTP_NO_EXTENSIONS が有効な場合 (または事前に構築されたホイールを使用していない場合) にのみ使用されます。このバグは、リリースバージョン 3.8.6 に含まれているコミット「d5c12ba89」で対処されています。ユーザーはアップグレードすることをお勧めします。これらの問題についての既知の回避策はありません。(CVE-2023-47627)

  - aiohttp は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。影響を受ける aiohttp のバージョンには、http プロトコルの一貫性のない解釈に関するセキュリティ脆弱性があります。
    HTTP/1.1 は永続的なプロトコルです。Content-Length(CL) と Transfer-Encoding(TE) の両方のヘッダー値が存在する場合、HTTP を解析する 2 つのエンティティが間違った解釈をすることになり、この間違った解釈で他のソケットを汚染する可能性があります。考えられる概念実証 (POC) は、CL と TE ヘッダーの両方を受け入れるリバースプロキシ (フロントエンド) と、aiohttp をバックエンドとする設定が考えられます。
    aiohttp は chunked のあるものを解析するため、chunked123 を TE として渡すことができ、フロントエンドエンティティはこのヘッダーを無視して Content-Length を解析します。この脆弱性の影響は、認証ヘッダを渡すように他のユーザにソケットをポイズニングし、あらゆるプロキシルールをバイパスする可能性があることです。また、オープンリダイレクトが存在する場合、攻撃者がそれを組み合わせて、ランダムなユーザーを別のウェブサイトにリダイレクトし、リクエストをログする可能性があります。この脆弱性は、aiohttp のリリース 3.8.0 で対処されています。ユーザーはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。(CVE-2023-47641)

  - aiohttp は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。aiohttp を Web サーバーとして使用し、静的ルートを設定する場合、静的ファイルのルートパスを指定する必要があります。
    さらに、静的ルートディレクトリ外のシンボリックリンクをフォローするかどうかが「follow_symlinks」オプションによって決定される可能性があります。「follow_symlinks」が True に設定されている場合、ルートディレクトリ内でファイルの読み取りが行われているかどうかを確認する検証が行われません。このため、ディレクトリトラバーサルの脆弱性が発生し、シンボリックリンクが存在しない場合でもシステム上の任意のファイルへの認証されていないアクセスが発生する可能性があります。
    follow_symlinks を無効にし、リバースプロキシを使用することが推奨されます。バージョン 3.9.2 ではこの問題が修正されています。(CVE-2024-23334)

  - aiohttp は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。Python HTTP パーサーのセキュリティに敏感な部分は、許容される文字セットのマイナーな違いを保持していました。このため、追加のリクエストのインジェクションから保護するために、エラー処理をトリガーしてプロキシのフレーム境界を確実に一致させる必要があります。さらに、検証を実行すると、他の無効な形式の入力の処理と一貫して処理されない例外が発生する可能性があります。インターネット標準の要求よりも寛大に処理すると、デプロイメント環境によってはリクエストのスマグリングが助長される可能性があります。処理されない例外により、アプリケーションサーバーやそのロギング機能で過剰なリソース消費が発生する可能性があります。この脆弱性は、CVE-2023-47627 の修正が不完全なために存在します。バージョン 3.9.2 では、この脆弱性が修正されています。(CVE-2024-23829)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLED15/ SLES15/ openSUSE 15 セキュリティ更新: python-aiohttp, python-time-machine (SUSE-SU-2024:0577-1)

high Nessus プラグイン ID 190879

バージョン 1.0