中危 aiohttp 环境问题漏洞(CVE-2023-37276)
CVE编号
CVE-2023-37276利用情况
暂无补丁情况
官方补丁披露时间
2023-07-20漏洞描述
aiohttp是一个基于asyncio和Python的异步HTTP客户端/服务器框架。aiohttp v3.8.4及之前版本携带llhttp v6.0.6。当可用时，aiohttp使用易受攻击的代码来进行HTTP请求解析，即在从wheel安装时的默认情况下。这个漏洞只影响使用aiohttp作为HTTP服务器（即`aiohttp.Application`）的用户，如果您正在使用aiohttp作为HTTP客户端库（即`aiohttp.ClientSession`），则不受此漏洞影响。发送精心设计的HTTP请求将导致服务器误解其中一个HTTP头值，从而导致HTTP请求走私。这个问题已经在版本3.8.5中得到解决。建议用户升级。不能升级的用户可以在环境变量中使用`AIOHTTP_NO_EXTENSIONS=1`重新安装aiohttp以禁用llhttp HTTP请求解析器实现。纯Python实现不受漏洞影响。解决建议
"将组件 aiohttp 升级至 3.8.5 及以上版本"受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | aiohttp_project | aiohttp | * | Up to (including) 3.8.4 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_10 | python-aiohttp | * | Up to (excluding) 3.5.1-1+deb10u1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_11 | python-aiohttp | * | Up to (including) 3.7.4-1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_12 | python-aiohttp | * | Up to (including) 3.8.4-1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_sid | python-aiohttp | * | Up to (including) 3.8.6-1 | |||||
- 攻击路径 本地
- 攻击复杂度 复杂
- 权限要求 普通权限
- 影响范围 越权影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
| CWE-444 | HTTP请求的解释不一致性（HTTP请求私运） |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论