Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - aiohttp は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。バージョン 3.10.2 より前の 3.10 ブランチのバージョンでは、圧縮されたファイルのバリアント (「.gz」または「.br」拡張子) を含む静的ルートは、これらのバリアントがシンボリックリンクの場合、root ディレクトリ外でのパストラバーサルに対して脆弱です。サーバーは、「follow_symlinks=False」(デフォルト) の場合、root ディレクトリ外のパストラバーサルから静的ルートを保護します。これは、リクエストされた URL を絶対パスに解決し、root に対する相対パスを確認することで行われます。ただし、「FileResponse」クラス内の圧縮されたバリアントを検索する際には、これらのチェックは実行されず、「Path.stat()」および「Path.open()」を実行してファイルを送信する際には、シンボリックリンクが自動的にたどられます。バージョン 3.10.2 には、この問題に対するパッチが含まれています。(CVE-2024-42367)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2024-42367

medium Nessus プラグイン ID 228929

バージョン 1.5