🇰🇷 한글 설명
AIOHTTP 3.13.2 이하 버전에서 청크 메시지 처리 시 과도한 CPU 점유가 발생하는 취약점입니다. 공격자가 많은 수의 청크를 포함한 요청을 보내면 서버가 이를 처리하는 동안 CPU를 차단하여 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
데이터를 잘게 쪼개서 보내는 특수한 요청을 통해 서버의 계산 능력을 마비시키는 공격입니다. 이로 인해 서버가 다른 사용자의 요청을 처리하지 못하고 멈출 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. In versions 3.13.2 and below, handling of chunked messages can result in excessive blocking CPU usage when receiving a large number of chunks. If an application makes use of the request.read() method in an endpoint, it may be possible for an attacker to cause the server to spend a moderate amount of blocking CPU time (e.g. 1 second) while processing the request. This could potentially lead to DoS as the server would be unable to handle other requests during that time. This issue is fixed in version 3.13.3.
📍 영향받는 시스템
AIOHTTP 3.13.2 및 그 이하 모든 버전
⚔️ 공격 벡터
대량의 청크(chunked)를 포함한 HTTP 요청을 전송하여 서버의 CPU 자원을 고갈시킴
🛡️ 대응 방법
AIOHTTP를 3.13.3 이상의 버전으로 업데이트
🔧 검증 코드
출력된 버전이 3.13.3 미만(예: 3.13.2)이면 취약한 상태입니다.
pip show aiohttp | grep Version