PT-2021-2299 · Pypi+4 · Aiohttp+4

G147 + 1 · Publicado 2021-02-25 · Atualizado 2024-06-15 · CVE-2021-21330

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do aiohttp anteriores à 3.7.4

Descrição

O problema está relacionado a uma vulnerabilidade de redirecionamento aberto na biblioteca aiohttp, que pode permitir que um invasor remoto realize ataques de phishing usando um link especialmente criado. Essa vulnerabilidade é causada por um bug no middleware aiohttp.web middlewares.normalize path middleware.

Recomendações

Para versões anteriores à 3.7.4, atualize sua dependência usando o pip da seguinte forma: “pip install aiohttp >= 3.7.4”.

Se a atualização não for uma opção, uma solução alternativa pode ser evitar o uso de aiohttp.web middlewares.normalize path middleware em suas aplicações.

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

ALT-PU-2021-1490

AZL-44805

BDU:2021-01528

CVE-2021-21330

DSA-4864-1

GHSA-V6WP-4M6F-GCJG

MGASA-2021-0161

OPENSUSE-SU-2024:13209-1

PYSEC-2021-76

RHSA-2021:4702

SUSE-RU-2022:3275-1

SUSE-SU-2021:1313-1

SUSE-SU-2021_1313-1

USN-5386-1

Produtos afetados

Alt Linux

Linuxmint

Suse

Ubuntu

Aiohttp

Referências · 47

• https://github.com/aio-libs/aiohttp · Nota
• https://github.com/aio-libs/aiohttp/blob/master/CHANGES.rst#374-2021-02-25 · Nota
• https://github.com/aio-libs/aiohttp/commit/2545222a3853e31ace15d87ae0e2effb7da0c96b · Correção
• https://github.com/aio-libs/aiohttp/security/advisories/GHSA-v6wp-4m6f-gcjg · Nota
• https://github.com/aio-libs/aiohttp/issues/5497 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/aiohttp/PYSEC-2021-76.yaml · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-21330 · Aviso do Fabricante
• https://osv.dev/vulnerability/MGASA-2021-0161 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21330 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2021-76 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/FU7ENI54JNEK3PHEFGCE46DGMFNTVU6L · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/JN3V7CZJRT4QFCVXB6LDPCJH7NAOFCA5 · Aviso do Fabricante
• https://debian.org/security/2021/dsa-4864 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2024:13209-1 · Aviso do Fabricante
• https://pypi.org/project/aiohttp · Nota