Python Lib AIOHttp Schwachstelle von Hackern ausgenutzt

Eine Schwachstelle in der beliebten Async IO Python Bibliothek AIOHttp wird derzeit von Hackern ausgenutzt, um sich auf Servern umzusehen und sensible Daten von diesen zu stehlen. Bei der Ende Januar 2024 entdeckten Schwachstelle CVE-2024-23334, handelt es sich um eine sogenannte Directory Traversal-Schwachstelle, die es Angreifern ermöglicht, auf unautorisierte Dateien des Systems zuzugreifen, auf dem die anfällige aiohttp-Anwendung läuft.

Die Schwachstelle ermöglicht es Angreifern, potenziell sensible Informationen zu entwenden oder unbefugten Zugriff auf das System zu erlangen, indem sie beliebige Dateien lesen. Die Ursache für dieses Sicherheitsrisiko liegt in einer unsachgemäßen Konfiguration bei der Auflösung statischer Ressourcen in aiohttp, speziell wenn der Parameter follow_symlinks auf True gesetzt wird, ohne eine angemessene Validierung.

Betroffen sind alle Versionen von aiohttp vor 3.9.2. Nutzer und Entwickler, die aiohttp verwenden, stehen nun vor der dringenden Aufgabe, ihre Systeme zu aktualisieren und die Sicherheitslücke zu schließen.

Um das Risiko zu mindern, wird empfohlen, aiohttp auf Version 3.9.2 oder neuer zu aktualisieren, da in diesen Versionen die Schwachstelle behoben wurde. Falls ein sofortiges Update nicht möglich ist, sollte erwogen werden, den Parameter follow_symlinks zu deaktivieren, wenn statische Ressourcen in aiohttp konfiguriert werden. Dies kann die Angriffsfläche verringern, könnte jedoch auch die beabsichtigte Funktionalität beeinträchtigen. Zusätzlich kann die Implementierung eines Reverse-Proxys vor der aiohttp-Anwendung eine zusätzliche Sicherheitsebene bieten und helfen, Directory Traversal-Angriffe zu verhindern.

Tags :

Related Posts

GhostRace - Sicherheitslücke bedroht Prozessoren

Eine neue Bedrohung namens GhostRace (CVE-2024-2193) wurde entdeckt, die auf Prozessorfehlern basiert und es Angreifern ermöglicht, den Kernel anzugreifen. Diese gefährliche Kombination aus spekulativer Ausführung und Race Conditions wurde von Forschern der VU Amsterdam und IBM Research identifiziert.

Read More

Typosquatting Angriffe auch 2024 im Trend

Typosquatting-Attacken sind eine Form des Cyberbetrugs, die darauf abzielt, von Tippfehlern der Internetnutzer zu profitieren. Die Phishing Angreifer registrieren Domainnamen, die bekannten Websites ähneln, um Nutzer auf gefälschte Seiten umzuleiten. Diese Seiten nutzen menschliche Tippfehler aus, um ahnungslose Internetnutzer auf betrügerische Websites zu locken, wo sie verschiedenen Bedrohungen ausgesetzt werden können, darunter Phishing, Malware-Installation und Identitätsdiebstahl. Typosquatting ist auch 2024 weiterhin beliebt, da es einfach durchzuführen ist und viele Internetnutzer immer noch unvorsichtig beim Eingeben von URLs sind.

Read More

Apache Doris Schwachstelle: Timing Angriff möglich

Eine kritische Sicherheitslücke im Open-Source, Echtzeit-Data-Warehouse Apache Doris stellt eine ernsthafte Bedrohung für Betreiber dar. Die Schwachstelle, gekennzeichnet als CVE-2023-41314, betrifft die Versionen 1.2.0 bis 2.0.3 und ermöglicht nicht autorisierten Zugriff über die API-Endpunkte /api/snapshot und /api/get_log_file. Angreifer können diese Lücke ausnutzen, um einen Denial-of-Service (DoS)-Angriff durchzuführen oder unbefugt beliebige Dateien vom Frontend (FE)-Knoten abzurufen.

Read More