AIOHTTP は、内部の静的ファイルパスのコンポーネントをブルートフォースで漏洩させる脆弱性があります

この脆弱性は、aiohttpのweb.static()関数を使用しているアプリケーションに影響を与えます。web.static()関数は、静的ファイルを配信するために使用されますが、この脆弱性により、攻撃者はファイルシステムの絶対パスを推測できる可能性があります。これにより、機密情報へのアクセスや、さらなる攻撃への足がかりを得ることが可能になる可能性があります。特に、ファイルシステムの構造が公開されている場合、攻撃の影響は大きくなります。この脆弱性は、aiohttpの設計上の問題が原因であり、他の同様のフレームワークでも同様の脆弱性が存在する可能性があります。

Applications utilizing aiohttp version 3.9.5 or earlier, particularly those employing the web.static() function for serving static files, are at risk. Python developers building web applications and relying on aiohttp for HTTP handling should prioritize upgrading their dependencies.

• python / server:

import aiohttp
print(aiohttp.__version__)

• python / supply-chain: Check project dependencies for aiohttp versions <= 3.9.5 using pip freeze | grep aiohttp. • generic web: Inspect application logs for requests targeting static files with unusual path parameters.

1. 2026-01-05Disclosure

   disclosure

2. 2026-01-05Patch

   patch

1. 予約済み2025-12-29
2. 公開日2026-01-05
3. 更新日2026-02-04
4. EPSS 更新日2026-03-23

この脆弱性への主な対策は、aiohttp 3.13.3へのアップデートです。web.static()関数の使用は推奨されていませんので、可能であれば使用を避けることが重要です。もしweb.static()を使用している場合は、ファイルシステムのアクセス権を厳しく制限し、不要なファイルへのアクセスを遮断するように設定してください。また、WAF（Web Application Firewall）を導入し、異常なパスリクエストを検知・ブロックすることも有効です。アップデートが困難な場合は、ファイルシステムの構造を隠蔽し、攻撃者がパスを推測することを困難にする対策を検討してください。