🇰🇷 한글 설명
AIOHTTP의 경로 정규화 로직 결함으로 인해 공격자가 절대 경로 구성 요소의 존재 여부를 확인할 수 있는 취약점입니다. web.static()을 사용하는 경우, 경로 탐색 방지 로직을 우회하여 특정 경로의 존재를 알아낼 수 있습니다.
💡 쉬운 설명
해커가 웹 서버의 특정 폴더나 파일이 실제로 존재하는지 몰래 알아낼 수 있는 보안 약점입니다. 이 정보는 더 큰 공격을 위한 발판으로 사용될 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Versions 3.13.2 and below enable an attacker to ascertain the existence of absolute path components through the path normalization logic for static files meant to prevent path traversal. If an application uses web.static() (not recommended for production deployments), it may be possible for an attacker to ascertain the existence of path components. This issue is fixed in version 3.13.3.
📍 영향받는 시스템
AIOHTTP 3.13.2 및 그 이하 버전
⚔️ 공격 벡터
web.static()을 사용하는 애플리케이션에 조작된 경로 요청을 보내 파일 존재 여부 확인
🛡️ 대응 방법
AIOHTTP를 3.13.3 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 3.13.2 이하이면 취약한 상태이며, 3.13.3 이상이면 안전합니다.
pip show aiohttp | grep Version