🇰🇷 한글 설명
aiohttp 프레임워크에서 HTTP 버전을 제어할 수 있을 때 발생하는 검증 미흡 취약점입니다. 공격자는 이를 통해 HTTP 요청을 수정하여 새로운 헤더를 삽입하거나 아예 새로운 HTTP 요청을 생성할 수 있습니다. 이 문제는 버전 3.9.0에서 패치되었습니다.
💡 쉬운 설명
웹 통신을 도와주는 프로그램의 허점을 이용해, 공격자가 원래 보내려던 메시지를 마음대로 바꾸거나 가짜 메시지를 끼워 넣을 수 있는 문제입니다. 공격자가 통신 규칙(HTTP 버전)을 조작할 수 있는 상황에서 발생합니다.
🇺🇸 원문 (English)
aiohttp is an asynchronous HTTP client/server framework for asyncio and Python. Improper validation made it possible for an attacker to modify the HTTP request (e.g. to insert a new header) or create a new HTTP request if the attacker controls the HTTP version. The vulnerability only occurs if the attacker can control the HTTP version of the request. This issue has been patched in version 3.9.0.
📍 영향받는 시스템
aiohttp 버전 3.9.0 미만
⚔️ 공격 벡터
공격자가 HTTP 요청의 버전을 제어할 수 있는 환경을 통해 요청 변조 및 삽입 공격 수행
🛡️ 대응 방법
aiohttp를 최신 버전인 3.9.0 이상으로 업데이트
🔧 검증 코드
출력된 Version 값이 3.9.0보다 낮으면 취약한 상태이며, 3.9.0 이상이면 안전합니다.
pip show aiohttp | grep Version