🇰🇷 한글 설명
AIOHTTP의 Python HTTP 파서(3.13.2 이하 버전)에서 비 ASCII 문자가 포함된 경우 요청 스머글링 공격이 발생할 수 있습니다. C 확장 기능 없이 순수 Python 버전으로 설치되었거나 AIOHTTP_NO_EXTENSIONS가 활성화된 경우, 공격자가 방화벽이나 프록시 보호를 우회할 수 있습니다.
💡 쉬운 설명
웹 서버가 데이터를 해석하는 방식의 차이를 이용해, 정상적인 요청 사이에 숨겨진 악의적인 명령을 끼워 넣는 공격입니다. 이를 통해 보안 장비를 속이고 서버에 허가되지 않은 접근을 할 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Versions 3.13.2 and below of the Python HTTP parser may allow a request smuggling attack with the presence of non-ASCII characters. If a pure Python version of AIOHTTP is installed (i.e. without the usual C extensions) or AIOHTTP_NO_EXTENSIONS is enabled, then an attacker may be able to execute a request smuggling attack to bypass certain firewalls or proxy protections. This issue is fixed in version 3.13.3.
📍 영향받는 시스템
AIOHTTP 3.13.2 이하 버전 (C 확장 기능이 없는 경우)
⚔️ 공격 벡터
비 ASCII 문자를 포함한 특수 요청을 전송하여 프록시와 서버 간의 해석 차이를 유도하는 요청 스머글링
🛡️ 대응 방법
AIOHTTP를 3.13.3 이상 버전으로 업데이트하거나 C 확장 기능을 사용하도록 설정
🔧 검증 코드
출력된 버전이 3.13.2 이하이면 취약할 가능성이 있으므로 업데이트가 필요합니다.
pip show aiohttp | grep Version