🇰🇷 한글 설명
AIOHTTP 3.14.4 미만 버전에서 Max-Age 처리 과정 중 오버플로우가 발생하여 연결 종료가 누락되는 취약점이 존재합니다. 공격자는 이를 이용해 연결 풀을 일시적으로 고갈시켜 서비스 가용성을 저해할 수 있습니다.
💡 쉬운 설명
웹 서버가 연결을 제대로 닫지 못하게 만들어 서버의 연결 통로를 모두 가득 채워버리는 문제입니다. 이로 인해 일반 사용자가 웹 서비스에 접속하지 못하는 상황이 발생할 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.4, Max-Age processing can overflow and skip closing a connection. An attacker can consequently exhaust the connection pool temporarily until garbage collection resolves the connections. This issue is fixed in version 3.14.4.
📍 영향받는 시스템
AIOHTTP versions prior to 3.14.4
⚔️ 공격 벡터
조작된 Max-Age 값을 포함한 HTTP 요청을 통해 연결 풀 고갈 유도
🛡️ 대응 방법
AIOHTTP를 3.14.4 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 3.14.4 미만이면 취약한 상태이며, 3.14.4 이상이면 안전합니다.
pip show aiohttp | grep Version