ИнструментыУязвимости БДУБлоклистыРасширениеУтилитыБлогAPIМониторинг
Главная → База уязвимостей БДУ → BDU:2025-03462
4средняя

BDU:2025-03462 (CVE-2024-42367)

Уязвимость HTTP-клиента aiohttp, связанная с проблемасм с символической ссылкой при обработке статических маршрутов, содержащих файлы со сжатыми вариантами в классе FileResponse, позволяющая нарушителю скомпрометировать уязвимую систему
Опубликовано: 2025-03-27
Описание

Уязвимость HTTP-клиента aiohttp связана с проблемасм с символической ссылкой при обработке статических маршрутов, содержащих файлы со сжатыми вариантами в классе FileResponse. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, скомпрометировать уязвимую систему

Затрагиваемое ПО и версии
OpenSUSE Leap (15.5)openSUSE TumbleweedРЕД ОС (7.3)Suse Linux Enterprise Server (15 SP4)SUSE Linux Enterprise Server for SAP Applications (15 SP4)SUSE Manager Retail Branch Server (4.3)SUSE Manager Proxy (4.3)SUSE Manager Server (4.3)SUSE Linux Enterprise High Performance Computing (15 SP4)SUSE Linux Enterprise Module for Public Cloud (15 SP4)SUSE Linux Enterprise Server for SAP Applications (15 SP5)Suse Linux Enterprise Server (15 SP5)Suse Linux Enterprise Desktop (15 SP5)SUSE Linux Enterprise High Performance Computing (15 SP5)Suse Linux Enterprise Desktop (15 SP6)Suse Linux Enterprise Server (15 SP6)SUSE Linux Enterprise Server for SAP Applications (15 SP6)SUSE Linux Enterprise High Performance Computing (15 SP6)OpenSUSE Leap (15.6)aiohttp (до 3.10.2)SUSE Linux Enterprise Module for Python 3 (15 SP5)SUSE Linux Enterprise Module for Python 3 (15 SP6)
Способ устранения

Использование рекомендаций:
https://github.com/aio-libs/aiohttp/blob/e0ff5246e1d29b7710ab1a2bbc972b48169f1c05/aiohttp/web_fileresponse.py#L177
https://github.com/aio-libs/aiohttp/blob/e0ff5246e1d29b7710ab1a2bbc972b48169f1c05/aiohttp/web_urldispatcher.py#L674
https://github.com/aio-libs/aiohttp/commit/ce2e9758814527589b10759a20783fb03b98339f
https://github.com/aio-libs/aiohttp/pull/8653
https://github.com/aio-libs/aiohttp/security/advisories/GHSA-jwhx-xcg6-8xhj

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2024-42367.html

Оценка CVSS
Балл4 — средняя опасность
Источники и патчи
https://redos.red-soft.ru/support/secure/https://github.com/aio-libs/aiohttp/blob/e0ff5246e1d29b7710ab1a2bbc972b48169f1c05/aiohttp/web_fileresponse.py#L177https://github.com/aio-libs/aiohttp/blob/e0ff5246e1d29b7710ab1a2bbc972b48169f1c05/aiohttp/web_urldispatcher.py#L674https://github.com/aio-libs/aiohttp/commit/ce2e9758814527589b10759a20783fb03b98339fhttps://github.com/aio-libs/aiohttp/pull/8653https://github.com/aio-libs/aiohttp/security/advisories/GHSA-jwhx-xcg6-8xhjhttp://repo.red-soft.ru/redos/7.3c/x86_64/updates/https://www.suse.com/security/cve/CVE-2024-42367.html
Проверьте безопасность своего сайта и почты → Полная проверка домена