远程 Debian 11 主机上安装的多个程序包受到 dla-4041 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4041-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Jochen Sprickerhof 2025 年 2 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：python-aiohttp 版本：3.7.4-1+deb11u1 CVE ID：CVE-2023-47627 CVE-2023-47641 CVE-2023-49081 CVE-2023-49082 CVE-2024-23334 CVE-2024-23829 CVE-2024-27306 CVE-2024-30251 CVE-2024-52304 Debian 缺陷：

    aiohttp 是用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。目前发现 aiohttp 中有若干问题，这些问题与 HTTP 解析器、链接遍历和索引页面上的 XSS 有关。

    CVE-2023-47627

         AIOHTTP 中的 HTTP 解析器存在大量标头解析问题，这些问题可导致请求走私。仅在启用 AIOHTTP_NO_EXTENSIONS（或不使用预构建的 wheel）的情况下才使用此解析器。

    CVE-2023-47641

        受影响的 aiohttp 版本存在与不一致的 HTTP 协议解释有关的安全漏洞。HTTP/1.1 是持久性协议，如果同时存在 Content-Length(CL) 和 Transfer-Encoding(TE) 标头值，则此漏洞可能会导致解析 HTTP 的两个实体的解释不正确，我们可以利用此错误解析来毒化其他套接字。可能的概念验证 (POC) 是配置同时接受 CL 和 TE 标头的反向代理（前端）并使用 aiohttp 作为后端。aiohttp 会解析任何具有 chunked 的内容，因此我们可以将 chunked123 作为 TE 传递，前端实体会忽略此标头并解析 Content-Length。此漏洞的影响在于：它可能会绕过任何代理规则，使套接字中毒（例如传递身份验证标头），如果同时存在开放重定向漏洞，则攻击者可将两者结合将任意用户重定向至其他网站并记录此请求。

    CVE-2023-49081

        不当验证使攻击者可以修改 HTTP 请求（例如插入新标头），或在攻击者控制 HTTP 版本的情况下创建新的 HTTP 请求。仅当攻击者可以控制请求的 HTTP 版本时，才会产生此漏洞。

    CVE-2023-49082

        不当验证使攻击者可以修改 HTTP 请求（例如插入新标头），或在攻击者控制 HTTP 方法的情况下创建新的 HTTP 请求。仅当攻击者可以控制请求的 HTTP 方法（GET、POST 等）时，才会产生此漏洞。如果攻击者可以控制请求的 HTTP 版本，则能够修改此请求（请求走私）。

    CVE-2024-23334

        将 aiohttp 用作 Web 服务器并配置静态路由时，需要指定静态文件的根路径。
        此外，“follow_symlinks”选项可用于确定是否跟随静态根目录以外的符号链接。
        当“follow_symlinks”设置为 True 时，程序不会验证读取的文件是否在根目录内。这可能导致目录遍历漏洞，造成用户可在未经授权的情况下访问系统上的任意文件，即使在没有符号链接的情况下亦然。建议使用的缓解措施是禁用 follow_symlinks 并使用反向代理。

    CVE-2024-23829

        Python HTTP 解析器的安全性敏感部分在允许的字符集中保留了轻微差异，必须触发错误处理才能稳定地匹配代理的帧边界，从而防止注入其他请求。此外，验证可触发异常，但这些异常的处理方式与其他格式错误的输入不一致。比互联网标准的要求宽松可以协助请求走私，具体取决于部署环境。未处理的异常会造成应用程序服务器和/或其日志记录设施过量消耗资源。

    CVE-2024-27306

        用于处理静态文件的索引页面上存在 XSS 漏洞。

    CVE-2024-30251

         在受影响的版本中，攻击者可发送特别构建的 POST (multipart/form-data) 请求。当 aiohttp 服务器处理该请求时，服务器将进入无限循环，且无法处理任何进一步请求。攻击者可在发送单个请求后阻止应用程序处理请求。

    CVE-2024-52304

        Python 解析器无法正确解析区块扩展中的换行符，这在某些情况下可能导致请求走私漏洞。如果安装了纯 Python 版本的 aiohttp（即
        没有常见的 C 扩展）或启用了“AIOHTTP_NO_EXTENSIONS”，攻击者或许可以执行请求走私攻击，以绕过某些防火墙或代理保护。

    对于 Debian 11 bullseye，这些问题已在 3.7.4-1+deb11u1 版本中修复。

    我们建议您升级 python-aiohttp 程序包。

    如需了解 python-aiohttp 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python-aiohttp

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian dla-4041：python-aiohttp-doc - 安全更新

medium Nessus 插件 ID 214900

版本 1.2