There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - aiohttp is an asynchronous HTTP client/server framework for asyncio and Python. In versions on the 3.10
    branch prior to version 3.10.2, static routes which contain files with compressed variants (`.gz` or `.br`
    extension) are vulnerable to path traversal outside the root directory if those variants are symbolic
    links. The server protects static routes from path traversal outside the root directory when
    `follow_symlinks=False` (default). It does this by resolving the requested URL to an absolute path and
    then checking that path relative to the root. However, these checks are not performed when looking for
    compressed variants in the `FileResponse` class, and symbolic links are then automatically followed when
    performing the `Path.stat()` and `Path.open()` to send the file. Version 3.10.2 contains a patch for the
    issue. (CVE-2024-42367)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - aiohttp 是用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。在版本 3.10.2 之前的 3.10 分支上，静态路由若包含存在压缩变体的文件 (`.gz` 或 `.br` 扩展名) 且这些变体为符号链接，静态路由便容易遭受根目录外部的路径遍历攻击。当 `follow_symlinks=False` (默认) 时，服务器会保护静态路由，防止在根目录以外出现路径遍历。其操作方法是将请求的 URL 解析为绝对路径，然后检查该路径相对于根目录的情况。但是，在 `FileResponse` 类中查找压缩变体时，系统不会执行这些检查，并且在执行 `Path.stat()` 和 `Path.open()` 以发送该文件时，系统会自动跟踪这些符号链接。3.10.2 版本包含针对该问题的补丁。(CVE-2024-42367)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - aiohttp 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。在 3.10.2 版本之前的 3.10 分支中，如果靜態路由包含附壓縮變體 (`.gz` 或 `.br` 副檔名) 的檔案，且這些變體為符號連結，則容易受到 root 目錄外的路徑遊走攻擊。當 `follow_symlinks=False` (預設值) 時，伺服器會保護靜態路由，防止路徑遊走至 root 目錄外。其做法是將要求的 URL 解析為絕對路徑，然後檢查該路徑是否相對於 root 路徑。不過，在 `FileResponse` 類別中尋找壓縮變體時，不會執行這些檢查，而在使用 `Path.stat()` 和 `Path.open()` 傳送檔案時，會自動遵循符號連結。3.10.2 版包含針對該問題的修補程式。(CVE-2024-42367)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - aiohttp は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。バージョン 3.10.2 より前の 3.10 ブランチのバージョンでは、圧縮されたファイルのバリアント (「.gz」または「.br」拡張子) を含む静的ルートは、これらのバリアントがシンボリックリンクの場合、root ディレクトリ外でのパストラバーサルに対して脆弱です。サーバーは、「follow_symlinks=False」(デフォルト) の場合、root ディレクトリ外のパストラバーサルから静的ルートを保護します。これは、リクエストされた URL を絶対パスに解決し、root に対する相対パスを確認することで行われます。ただし、「FileResponse」クラス内の圧縮されたバリアントを検索する際には、これらのチェックは実行されず、「Path.stat()」および「Path.open()」を実行してファイルを送信する際には、シンボリックリンクが自動的にたどられます。バージョン 3.10.2 には、この問題に対するパッチが含まれています。(CVE-2024-42367)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - aiohttp is an asynchronous HTTP client/server framework for asyncio and Python. In versions on the 3.10     branch prior to version 3.10.2, static routes which contain files with compressed variants (`.gz` or `.br`     extension) are vulnerable to path traversal outside the root directory if those variants are symbolic     links. The server protects static routes from path traversal outside the root directory when     `follow_symlinks=False` (default). It does this by resolving the requested URL to an absolute path and     then checking that path relative to the root. However, these checks are not performed when looking for     compressed variants in the `FileResponse` class, and symbolic links are then automatically followed when     performing the `Path.stat()` and `Path.open()` to send the file. Version 3.10.2 contains a patch for the     issue. (CVE-2024-42367)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has a package installed that is affected by a vulnerability as referenced in the SUSE-SU-2024:3110-1 advisory.

    - CVE-2024-42367: Fixed path traversal outside the root directory when requests involve compressed files     as symbolic links (bsc#1229226)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
416608	SCA: security update for aiohttp (GHSA-jwhx-xcg6-8xhj)	Tenable Self-Hosted Container Security	SCA Checks	1/23/2025	7/2/2026	medium
416608	SCA: security update for aiohttp (GHSA-jwhx-xcg6-8xhj)	Tenable Cloud Security	SCA Checks	1/23/2025	7/2/2026	medium
228929	Linux Distros 未修补的漏洞：CVE-2024-42367	Nessus	Misc.	3/5/2025	7/15/2026	medium
228929	Linux Distros 未修補弱點: CVE-2024-42367	Nessus	Misc.	3/5/2025	7/15/2026	medium
228929	Linux Distros のパッチ未適用の脆弱性: CVE-2024-42367	Nessus	Misc.	3/5/2025	7/15/2026	medium
228929	Linux Distros Unpatched Vulnerability : CVE-2024-42367	Nessus	Misc.	3/5/2025	7/15/2026	medium
206563	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : python-aiohttp (SUSE-SU-2024:3110-1)	Nessus	SuSE Local Security Checks	9/4/2024	9/4/2024	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium