🇰🇷 한글 설명
AIOHTTP는 asyncio 및 Python을 위한 비동기 HTTP 클라이언트/서버 프레임워크입니다. 3.14.4 이전 버전에서는 요청 초기 단계에서 keepalive 타임아웃 처리가 누락되어 있습니다. 공격자가 요청 데이터를 보내기 전 유휴 연결을 무기한 유지함으로써 서버의 연결 용량을 소모할 수 있습니다.
💡 쉬운 설명
공격자가 서버에 연결만 해두고 아무런 데이터를 보내지 않은 채 연결을 계속 붙잡아 두는 공격이 가능합니다. 이로 인해 서버가 새로운 사용자의 접속을 받지 못하게 되는 서비스 거부 상태가 발생할 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.4, keepalive timeout handling is absent during the initial portion of a request. An attacker can keep an idle connection open indefinitely before sending any request data, consuming server connection capacity. This issue is fixed in version 3.14.4.
📍 영향받는 시스템
AIOHTTP versions prior to 3.14.4
⚔️ 공격 벡터
요청 데이터를 전송하지 않은 상태로 TCP 연결을 유지하여 서버 자원을 고갈시키는 방식
🛡️ 대응 방법
AIOHTTP를 3.14.4 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Version 값이 3.14.4 미만이면 취약한 버전입니다.
pip show aiohttp | grep Version