🇰🇷 한글 설명
AIOHTTP 3.14.4 미만 버전에서 절대 형식 요청을 보낼 때 Request.scheme이 연결 프로토콜 대신 공격자가 제어하는 요청 타겟 스킴 데이터를 사용하게 되는 취약점이 존재합니다. 이로 인해 보안 결정을 내리는 애플리케이션이 암호화되지 않은 연결을 암호화된 것으로 오인하거나 그 반대의 상황이 발생할 수 있습니다.
💡 쉬운 설명
해커가 보낸 특수한 요청 때문에 프로그램이 보안 연결(HTTPS)과 일반 연결(HTTP)을 착각할 수 있는 문제입니다. 이로 인해 보안이 중요한 데이터가 암호화되지 않은 채 노출될 위험이 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.4, an attacker can send an absolute-form request that causes Request.scheme to use attacker-controlled request-target scheme data instead of the connection protocol. Applications that use Request.scheme for security decisions can consequently be tricked into treating an unencrypted connection as encrypted or an encrypted connection as unencrypted. This issue is fixed in version 3.14.4.
📍 영향받는 시스템
AIOHTTP versions prior to 3.14.4
⚔️ 공격 벡터
공격자가 조작된 절대 형식(absolute-form)의 HTTP 요청을 전송하여 Request.scheme 값을 변조함
🛡️ 대응 방법
AIOHTTP를 최신 버전인 3.14.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.14.4 미만이면 취약한 상태입니다.
pip show aiohttp | grep Version