EXPLOIT PÚBLICO
CVE-2024-23334 Recorrido de directorios en aiohttp.web.static con follow_symlinks=True
aiohttp, al usarse como servidor web con rutas estáticas y follow_symlinks=True, no valida que la lectura de archivos quede dentro del directorio raíz, lo que permite recorrido de directorios y acceso no autorizado a archivos arbitrarios del sistema, incluso sin symlinks. La versión 3.9.2 corrige el problema; se recomienda deshabilitar follow_symlinks y usar un proxy inverso.
Alerta de Nureq Monitor
Detectada 15 OCT · 22:44Última novedad 19 OCT · 10:51
CVSS 3.1
5.9MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
76,9 % PERCENTIL 100
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
Sí 2 REPOSITORIOS
Qué es CVE-2024-23334
aiohttp, al usarse como servidor web con rutas estáticas y follow_symlinks=True, no valida que la lectura de archivos quede dentro del directorio raíz, lo que permite recorrido de directorios y acceso no autorizado a archivos arbitrarios del sistema, incluso sin symlinks. La versión 3.9.2 corrige el problema; se recomienda deshabilitar follow_symlinks y usar un proxy inverso.
Productos y versiones afectadas
aio-libs aiohttp
Qué hacer
- Verificá si usás aiohttp y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Exploits y pruebas de concepto públicas
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
- begzodxasanboev/Driftnet ↗CTF writeup: rooting a Linux box via CVE-2024-23334 (directory traversal) and CVE-2025-32463 (sudo privilege escalation)PUBLICADO 15 OCT · 22:44
- JohnnyWang108/hdu-is-lab1-secure-api ↗HDU IS Lab Work 1: secure Flask REST API with CI/CD and CVE-2024-23334 analysisPUBLICADO 19 OCT · 10:51
Calculadora CVSS
CVSS 3.1 · 5.9 MEDIA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Alta
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Alta
- INTEGRIDAD (I)
- Ninguna
- DISPONIBILIDAD (A)
- Ninguna
Abrir la calculadora completa →
Descripción original
aiohttp is an asynchronous HTTP client/server framework for asyncio and Python. When using aiohttp as a web server and configuring static routes, it is necessary to specify the root path for static files. Additionally, the option 'follow_symlinks' can be used to determine whether to follow symbolic links outside the static root directory. When 'follow_symlinks' is set to True, there is no validation to check if reading a file is within the root directory. This can lead to directory traversal vulnerabilities, resulting in unauthorized access to arbitrary files on the system, even when symlinks are not present. Disabling follow_symlinks and using a reverse proxy are encouraged mitigations. Version 3.9.2 fixes this issue.
Referencias
- github.com/aio-libs/aiohttp/security/advisories/GHSA-5h86-8mv2-jq9fX_REFSOURCE_CONFIRM
- github.com/aio-libs/aiohttp/pull/8079X_REFSOURCE_MISC
- github.com/aio-libs/aiohttp/commit/1c335944d6a8b1298baf179b7c0b3069f10c514bX_REFSOURCE_MISC
- lists.fedoraproject.org/archives/list/[email protected]/message/XX…
- lists.fedoraproject.org/archives/list/[email protected]/message/IC…
- lists.debian.org/debian-lts-announce/2025/02/msg00002.html
- www.exploit-db.com/exploits/52474
Historial de la alerta
- EXPLOIT PÚBLICO Se publicó el repositorio begzodxasanboev/Driftnet.
- EXPLOIT PÚBLICO Se publicó el repositorio JohnnyWang108/hdu-is-lab1-secure-api.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.