🇰🇷 한글 설명
AIOHTTP 2.0.0 버전부터 3.14.4 버전 사이에서 multipart 요청 처리 시 무제한의 파일 디스크립터를 유지하는 취약점이 발견되었습니다. 인증되지 않은 공격자가 특수하게 제작된 multipart 요청을 보내면 파일 디스크립터를 고갈시켜 서비스를 중단시킬 수 있습니다.
💡 쉬운 설명
웹 서버가 파일을 처리하는 과정에서 자원을 제대로 놓아주지 않아 발생하는 문제입니다. 공격자가 가짜 요청을 계속 보내면 서버가 사용할 수 있는 자원이 바닥나 서비스가 멈출 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. From 2.0.0 until 3.14.4, multipart request processing can retain an unbounded number of open file descriptors. An unauthenticated attacker can consequently exhaust file descriptors with specially crafted multipart requests when a handler uses Request.post(). This issue is fixed in version 3.14.4.
📍 영향받는 시스템
AIOHTTP versions 2.0.0 through 3.14.3
⚔️ 공격 벡터
인증되지 않은 공격자가 특수하게 조작된 multipart HTTP 요청을 전송하여 파일 디스크립터 고갈 유도
🛡️ 대응 방법
AIOHTTP를 3.14.4 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.14.4 미만인 경우 해당 취약점에 노출된 상태입니다.
pip show aiohttp | grep Version