🇰🇷 한글 설명
AIOHTTP의 3.13.2 이하 버전에서 Range 헤더에 비 ASCII 십진수가 포함될 수 있는 파서 로직 결함이 발견되었습니다. 현재 알려진 직접적인 영향은 없으나, 이를 이용한 HTTP 요청 스머글링(Request Smuggling) 취약점이 발생할 가능성이 있습니다.
💡 쉬운 설명
웹 서버가 데이터를 요청할 때 사용하는 특정 규칙에 오류가 있어, 공격자가 교묘하게 조작된 요청을 보내 서버를 혼란에 빠뜨릴 수 있습니다. 이로 인해 보안 통제를 우회하거나 다른 사용자의 요청을 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Versions 3.13.2 and below contain parser logic which allows non-ASCII decimals to be present in the Range header. There is no known impact, but there is the possibility that there's a method to exploit a request smuggling vulnerability. This issue is fixed in version 3.13.3.
📍 영향받는 시스템
AIOHTTP 3.13.2 및 그 이하 모든 버전
⚔️ 공격 벡터
Range 헤더에 비 ASCII 문자가 포함된 특수하게 조작된 HTTP 요청 전송
🛡️ 대응 방법
AIOHTTP를 최신 보안 패치가 적용된 버전인 3.13.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.13.3보다 낮으면 취약한 상태입니다.
pip show aiohttp | grep Version