Debian dla-4041：python-aiohttp-doc - 安全更新
medium Nessus 插件 ID 214900
语言：
简介
远程 Debian 主机上缺少一个或多个与安全相关的更新。描述
远程 Debian 11 主机上安装的多个程序包受到 dla-4041 公告中提及的多个漏洞影响。------------------------------------------------------------------------- Debian LTS 公告 DLA-4041-1 [email protected] https://www.debian.org/lts/security/Jochen Sprickerhof 2025 年 2 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------
程序包：python-aiohttp 版本：3.7.4-1+deb11u1 CVE ID：CVE-2023-47627 CVE-2023-47641 CVE-2023-49081 CVE-2023-49082 CVE-2024-23334 CVE-2024-23829 CVE-2024-27306 CVE-2024-30251 CVE-2024-52304 Debian 缺陷：
aiohttp 是用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。目前发现 aiohttp 中有若干问题，这些问题与 HTTP 解析器、链接遍历和索引页面上的 XSS 有关。
CVE-2023-47627
AIOHTTP 中的 HTTP 解析器存在大量标头解析问题，这些问题可导致请求走私。仅在启用 AIOHTTP_NO_EXTENSIONS（或不使用预构建的 wheel）的情况下才使用此解析器。
CVE-2023-47641
受影响的 aiohttp 版本存在与不一致的 HTTP 协议解释有关的安全漏洞。HTTP/1.1 是持久性协议，如果同时存在 Content-Length(CL) 和 Transfer-Encoding(TE) 标头值，则此漏洞可能会导致解析 HTTP 的两个实体的解释不正确，我们可以利用此错误解析来毒化其他套接字。可能的概念验证 (POC) 是配置同时接受 CL 和 TE 标头的反向代理（前端）并使用 aiohttp 作为后端。aiohttp 会解析任何具有 chunked 的内容，因此我们可以将 chunked123 作为 TE 传递，前端实体会忽略此标头并解析 Content-Length。此漏洞的影响在于：它可能会绕过任何代理规则，使套接字中毒（例如传递身份验证标头），如果同时存在开放重定向漏洞，则攻击者可将两者结合将任意用户重定向至其他网站并记录此请求。
CVE-2023-49081
不当验证使攻击者可以修改 HTTP 请求（例如插入新标头），或在攻击者控制 HTTP 版本的情况下创建新的 HTTP 请求。仅当攻击者可以控制请求的 HTTP 版本时，才会产生此漏洞。
CVE-2023-49082
不当验证使攻击者可以修改 HTTP 请求（例如插入新标头），或在攻击者控制 HTTP 方法的情况下创建新的 HTTP 请求。仅当攻击者可以控制请求的 HTTP 方法（GET、POST 等）时，才会产生此漏洞。如果攻击者可以控制请求的 HTTP 版本，则能够修改此请求（请求走私）。
CVE-2024-23334
将 aiohttp 用作 Web 服务器并配置静态路由时，需要指定静态文件的根路径。
此外，“follow_symlinks”选项可用于确定是否跟随静态根目录以外的符号链接。
当“follow_symlinks”设置为 True 时，程序不会验证读取的文件是否在根目录内。这可能导致目录遍历漏洞，造成用户可在未经授权的情况下访问系统上的任意文件，即使在没有符号链接的情况下亦然。建议使用的缓解措施是禁用 follow_symlinks 并使用反向代理。
CVE-2024-23829
Python HTTP 解析器的安全性敏感部分在允许的字符集中保留了轻微差异，必须触发错误处理才能稳定地匹配代理的帧边界，从而防止注入其他请求。此外，验证可触发异常，但这些异常的处理方式与其他格式错误的输入不一致。比互联网标准的要求宽松可以协助请求走私，具体取决于部署环境。未处理的异常会造成应用程序服务器和/或其日志记录设施过量消耗资源。
CVE-2024-27306
用于处理静态文件的索引页面上存在 XSS 漏洞。
CVE-2024-30251
在受影响的版本中，攻击者可发送特别构建的 POST (multipart/form-data) 请求。当 aiohttp 服务器处理该请求时，服务器将进入无限循环，且无法处理任何进一步请求。攻击者可在发送单个请求后阻止应用程序处理请求。
CVE-2024-52304
Python 解析器无法正确解析区块扩展中的换行符，这在某些情况下可能导致请求走私漏洞。如果安装了纯 Python 版本的 aiohttp（即
没有常见的 C 扩展）或启用了“AIOHTTP_NO_EXTENSIONS”，攻击者或许可以执行请求走私攻击，以绕过某些防火墙或代理保护。
对于 Debian 11 bullseye，这些问题已在 3.7.4-1+deb11u1 版本中修复。
我们建议您升级 python-aiohttp 程序包。
如需了解 python-aiohttp 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python-aiohttp
有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature
Tenable 已直接从 Debian 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级 python-aiohttp-doc 程序包。另见
https://packages.debian.org/source/bullseye/python-aiohttp
https://security-tracker.debian.org/tracker/CVE-2023-47627
https://security-tracker.debian.org/tracker/CVE-2023-47641
https://security-tracker.debian.org/tracker/CVE-2023-49081
https://security-tracker.debian.org/tracker/CVE-2023-49082
https://security-tracker.debian.org/tracker/CVE-2024-23334
https://security-tracker.debian.org/tracker/CVE-2024-23829
https://security-tracker.debian.org/tracker/CVE-2024-27306
https://security-tracker.debian.org/tracker/CVE-2024-30251
插件详情
严重性: Medium
ID: 214900
文件名: debian_DLA-4041.nasl
版本: 1.2
类型: Local
代理: unix
发布时间: 2025/2/3
最近更新时间: 2025/8/18
支持的传感器: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 6
百分位: 96.73
CVSS v2
风险因素: High
基本分数: 7.8
时间分数: 6.1
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:N
CVSS 分数来源: CVE-2024-52304
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.7
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
风险因素: Medium
Base Score: 6.3
Threat Score: 2.9
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
漏洞信息
CPE: cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:python-aiohttp-doc, p-cpe:/a:debian:debian_linux:python3-aiohttp, p-cpe:/a:debian:debian_linux:python3-aiohttp-dbg
必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可利用: true
易利用性: Exploits are available
补丁发布日期: 2025/2/3
漏洞发布日期: 2023/11/14
参考资料信息
CVE: CVE-2023-47627, CVE-2023-47641, CVE-2023-49081, CVE-2023-49082, CVE-2024-23334, CVE-2024-23829, CVE-2024-27306, CVE-2024-30251, CVE-2024-52304