🇰🇷 한글 설명
AIOHTTP는 Python용 비동기 HTTP 클라이언트/서버 프레임워크입니다. 3.13.2 이하 버전은 zip bomb 형태의 압축 요청을 처리할 때 압축 해제 과정에서 메모리를 고갈시켜 서버에 대한 DoS 공격이 가능합니다. 이 문제는 3.13.3 버전에서 수정되었습니다.
💡 쉬운 설명
공격자가 아주 작은 압축 파일을 보내면 서버가 이를 풀면서 엄청난 메모리를 사용해 서버가 멈추거나 느려질 수 있습니다. 해결하려면 AIOHTTP를 3.13.3 이상으로 업데이트해야 합니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Versions 3.13.2 and below allow a zip bomb to be used to execute a DoS against the AIOHTTP server. An attacker may be able to send a compressed request that when decompressed by AIOHTTP could exhaust the host's memory. This issue is fixed in version 3.13.3.
📍 영향받는 시스템
AIOHTTP 3.13.2 이하를 사용하는 Python 웹 서버 및 클라이언트 애플리케이션
⚔️ 공격 벡터
공격자가 zip bomb 형태의 압축된 HTTP 요청을 전송하여 압축 해제 시 서버 메모리를 고갈시킴
🛡️ 대응 방법
pip install --upgrade 'aiohttp>=3.13.3' 명령으로 AIOHTTP를 3.13.3 이상으로 업그레이드
🔧 검증 코드
출력된 Version 값이 3.13.3 이상이면 패치 완료, 3.13.2 이하이면 취약하므로 업그레이드가 필요합니다.
pip show aiohttp 2>/dev/null | grep -i '^version'