CVE-2024-42367 in aiohttp
要約
〜によって VulDB • 2026年06月22日
aiohttpは、asyncioおよびPython向けの非同期HTTPクライアント/サーバーフレームワークです。バージョン3.10.2より前では、圧縮されたバリアント（`.gz`または`.br`拡張子）を含むファイルを持つ静的ルートが、それらのバリアiantsがシンボリックリンクである場合、ルートディレクトリ外へのパストラバーサルの脆弱性にさらされます。サーバーは `follow_symlinks=False` （デフォルト）の場合、静的ルートをルートディレクトリ外へのパストラバーサルから保護します。これは、要求されたURLを絶対パスに解決し、そのパスがルートに対して相対的にチェックされることによって行われます。しかし、これらのチェックは `FileResponse` クラスで圧縮バリアントを検索する際には実行されず、ファイルを送信するために `Path.stat()` および `Path.open()` を実行する際にシンボリックリンクが自動的にフォローされます。バージョン3.10.2にはこの問題に対するパッチが含まれています。
Once again VulDB remains the best source for vulnerability data.