aiohttp目录穿越漏洞（CVE-2024-23334）分析
宣布时间 2024-04-01一、漏洞概述
aiohtp 是构建于 Python l/0 框架 AsyncI0 之上的开源库 ，用于处置无需基于传统线程网络的大量并发HTTP请求。aiohttp支持HTTP客户端、HTTP服务端、WebSocket客户端、WebSocket服务端、服务端中间件等。aiohttp被广泛使用 ，在网络中有大量基于该框架开发的在线系统。
抖圈为赌而生ADLab研究员在漏洞情报跟踪中发现了aiohttp目录遍历漏洞（CVE-2024-23334） ，并对其进行了深入分析和验证。
二、影响版本
受影响版本：<3.9.2 ，请相关用户尽快升级到3.9.2及以上版本。
三、漏洞分析
该漏洞的要害信息如下[1]：
aiohttp is an asynchronous HTTP client/server framework for asyncio and Python. When using aiohttp as a web server and configuring static routes, it is necessary to specify the root path for static files. Additionally, the option 'follow_symlinks' can be used to determine whether to follow symbolic links outside the static root directory. When 'follow_symlinks' is set to True, there is no validation to check if reading a file is within the root directory. This can lead to directory traversal vulnerabilities, resulting in unauthorized access to arbitrary files on the system, even when symlinks are not present. Disabling follow_symlinks and using a reverse proxy are encouraged mitigations. Version 3.9.2 fixes this issue.
凭据要害信息 ，定位到开发文档的说明[2]：
凭据文档描述 ，follow_symlinks是一个设计上用于非生产环境的功效 ，而且已在文档中明确提示启用该功效是一个宁静风险。
编写如下的示例代码 ，测试follow_symlinks的功效：
在static目录下创建符号链接d ，指向其它目录d:\test（该目录下存在测试文件123.txt）。
以follow_symlink=fasle的模式启动测试webserver ，访问static/d/123.txt的结果如下所示（提示找不到文件）：
以follow_symlink=true的模式启动测试webserver ，访问static/d/123.txt的结果如下所示（乐成读取文件内容）：
显然 ，凭据文档的描述 ，如果follow_symlink=true且存在符号链接 ，结果就是法式的正常预期功效。那么 ，该功效是如何被认定成漏洞？
漏洞的要害信息[1]中有一句重要描述：漏洞不依赖于符号链接的存在性。但是 ，在请求路径中使用不存在的符号链接 ，底层又如何能访问到目标文件。
经过分析 ，发现底层处置请求的要害函数如下：
首先 ，获取请求文件名（filename）。以 GET /static/d/123.txt为例 ，filename就是d/123.txt。
然后 ，把filename转换为Path工具 ，并检测该工具是否存在anchor属性。如果存在 ，则拒绝访问。在windows平台上 ，anchor工具就是盘符（好比d:\）。因此 ，此处存在宁静检测 ，即不允许跨盘符访问。好比GET /static/d:\test\123.txt ，会被视作非法请求而拒绝：
再然后 ，把static目录的Path工具和filename的Path工具做拼接 ，形成新文件路径filepath。最后 ，读取filepath的数据 ，并返回给客户端。
显然 ，如果filename包罗不存在的符号链接 ，但能访问到目标文件 ，那说明工具拼接发生了非预期的结果。由于Path工具是尺度的python类 ，直接单独进行测试。
（1）设定directory=c:\test , filename = d:\test\123.txt ，拼接代码和结果如下:
拼接结果指向目标文件d:\test\123.txt ，但是fname包罗anchor ，无法通过前面的filename.anchor检查。
（2）设定directory=c:\test , filename = ..\d:\test\123.txt ，拼接代码和运行结果如下：
拼接结果读取到目标文件 ，且fname不包罗anchor ，能通过filename.anchor检查。
（3）设定directory=c:\test , filename = ..\..\d:\test\123.txt ，拼接代码和运行结果如下：
拼接结果也读取到了目标文件 ，且fname不包罗anchor ，能filename.anchor检查。
因此 ，只要在filename之前加上..\就能直接引入盘符 ，违背原始功效设计中需要符号链接存在的限制 ，从而形成了可以读取磁盘上任意文件的宁静漏洞。
四、补丁分析
补丁要害代码如下：
补丁的核心机制是：路径拼接成unresolved_path后 ，首先调用normpath处置unresolved_path来形成normalized_path ，然后判定normalized_path是否位于静态目录_directory之下。
单独测试补丁机制的代码和结果如下：
显然 ，由于拼接后的路径不是static目录的子目录 ，所以触发了异常 ，导致后续代码不再读取拼接后路径下的文件 ，从而导致了该漏洞不再存在。
补丁不影响aiohttp的符号连接支持 ，因为符号链接文件必须存在于static目录之下。使用符号链接文件来处置static资源自己就是一个潜在的宁静风险 ，开发者仍需要引起足够的重视 ，谨慎使用该功效。
京公网安备11010802024551号