🇰🇷 한글 설명
aiohttp 프레임워크에서 HTTP 메서드나 버전을 공격자가 제어할 수 있을 경우, HTTP 요청을 수정하거나 새로운 요청을 삽입할 수 있는 취약점입니다. 이는 요청 변조 또는 HTTP 요청 스머글링(Request Smuggling) 공격으로 이어질 수 있습니다. 해당 문제는 3.9.0 버전에서 패치되었습니다.
💡 쉬운 설명
공격자가 웹사이트에 보내는 요청의 형식을 마음대로 조작하여, 원래 의도와 다른 명령을 실행하거나 다른 사용자의 요청을 가로챌 수 있는 문제입니다. 마치 편지 봉투를 몰래 열어 내용을 바꾸거나 가짜 편지를 끼워 넣는 것과 같습니다.
🇺🇸 원문 (English)
aiohttp is an asynchronous HTTP client/server framework for asyncio and Python. Improper validation makes it possible for an attacker to modify the HTTP request (e.g. insert a new header) or even create a new HTTP request if the attacker controls the HTTP method. The vulnerability occurs only if the attacker can control the HTTP method (GET, POST etc.) of the request. If the attacker can control the HTTP version of the request it will be able to modify the request (request smuggling). This issue has been patched in version 3.9.0.
📍 영향받는 시스템
aiohttp 3.9.0 미만 버전
⚔️ 공격 벡터
공격자가 HTTP 메서드 또는 HTTP 버전을 제어할 수 있는 환경을 통한 요청 변조 및 스머글링
🛡️ 대응 방법
aiohttp를 최신 버전인 3.9.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.9.0보다 낮은지 확인하십시오.
pip show aiohttp | grep Version