Pythonのaiohttpに脆弱性8件 3.14.4で修正、社内のサービスを確認

Pythonで非同期のWebサーバーや、外のサービスとの通信を書くときによく使われる部品「aiohttp」に、8件の脆弱性が見つかりました。直った版は、10月5日に出た3.14.4です。開発チームの評価は低めですが、GitHubは10月19日、そのうち1件を深刻度「High」と評価しました。社内の業務システムや自動化の道具に、知らないうちに入っていることもある部品です。開発チームの勧告から整理します。

何が直ったか

開発チーム(aio-libs)は、3.14.3以前を対象とする8件の勧告を、GitHubで公表しました。どれも3.14.4で直っています。

いちばん評価が分かれたのは、最初の要求の待ち時間の不具合です。開発チームは「Low」としていますが、GitHubのAdvisory Databaseは10月19日、ネットワーク越しにログインなしで、サービスを止める方向に大きく効くとして、CVSS 4.0で8.2の「High」と評価しました。

開発チームは、回避策として、本番ではリバースプロキシの内側に置き、プロキシの側で待ち時間の上限をかけるよう勧めています。

影響する会社・しない会社

• 影響する: aiohttpでWebサーバーやAPIを動かしている会社です。とくに、リバースプロキシを通さずに、aiohttpのサーバーを直接インターネットに出している場合は急ぎます。
• 影響する: 社内の自動化の道具や、外のサービスと通信するバッチなどで、aiohttpをクライアントとして使っている会社です。Cookieの扱いの不具合はこちらにかかわります。
• 影響しない: Pythonを使っていない、またはaiohttpが入っていない会社です。ただし、ほかの部品の土台として入ることがあるため、一覧で確かめてから判断します。

Pythonの部品の更新は、Canonical、urllib3の脆弱性を修正 Ubuntuの版別に更新確認をのように、OSの配布の側からも出ます。

情シスが今日やること

• 入っている場所を探す。サーバーや開発の端末で pip show aiohttp を実行するか、requirements.txt・ロックファイル・コンテナのイメージの一覧(SBOM)で、aiohttpの版を確かめます。
• 3.14.4以降に上げる。直接入れていなくても、ほかの部品の土台として入っていれば、その部品ごと上げます。上げたら、テストで動きを確かめます。
• 外に出すサーバーはプロキシの内側へ。aiohttpのサーバーを直接インターネットに出しているなら、リバースプロキシの内側に移し、プロキシで待ち時間と要求の大きさの上限をかけます。
• 依存関係の警告を受け取る。GitHubのDependabotなど、依存関係の脆弱性を知らせる仕組みを、社内のリポジトリで有効にしておくと、次の公表のときにすぐ気づけます。