PT-2024-8690 · Pypi+5 · Aiohttp+5
Jeppw
·
Publicado
2024-11-18
·
Atualizado
2026-01-23
·
CVE-2024-52304
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do aiohttp anteriores à 3.10.11
Descrição
O aiohttp é uma estrutura cliente/servidor HTTP assíncrona para asyncio e Python. Existe uma falha no tratamento, pelo analisador de Python, das quebras de linha dentro das extensões de blocos, o que pode levar a vulnerabilidades de contrabando de solicitações. Se uma versão em Python puro do aiohttp estiver instalada (sem as extensões C habituais) ou se
AIOHTTP NO EXTENSIONS estiver habilitado, um invasor poderá explorar essa falha para contornar certos firewalls ou proteções de proxy. O contrabando de solicitações ocorre quando um invasor manipula solicitações HTTP para induzir o servidor a processá-las de maneira indesejada. Isso pode levar a várias consequências de segurança, incluindo acesso não autorizado e violações de dados.Recomendações
Atualize o aiohttp para a versão 3.10.11 ou posterior.
Exploit
Correção
DoS
HTTP Request/Response Smuggling
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Linuxmint
Red Os
Suse
Ubuntu
Aiohttp