Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - aiohttp 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。在 3.10.2 版本之前的 3.10 分支中，如果靜態路由包含附壓縮變體 (`.gz` 或 `.br` 副檔名) 的檔案，且這些變體為符號連結，則容易受到 root 目錄外的路徑遊走攻擊。當 `follow_symlinks=False` (預設值) 時，伺服器會保護靜態路由，防止路徑遊走至 root 目錄外。其做法是將要求的 URL 解析為絕對路徑，然後檢查該路徑是否相對於 root 路徑。不過，在 `FileResponse` 類別中尋找壓縮變體時，不會執行這些檢查，而在使用 `Path.stat()` 和 `Path.open()` 傳送檔案時，會自動遵循符號連結。3.10.2 版包含針對該問題的修補程式。(CVE-2024-42367)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測

Linux Distros 未修補弱點: CVE-2024-42367

medium Nessus Plugin ID 228929

版本 1.5