🇰🇷 한글 설명
AIOHTTP 3.14.4 이전 버전에서 서브도메인이 기존 부모 도메인의 Host-Only 범위 쿠키를 제거할 수 있는 취약점이 발견되었습니다. 신뢰할 수 없는 서브도메인에 접속하는 사용자는 쿠키의 Host-Only 보호 기능이 해제될 수 있으며, 이는 애플리케이션이 해당 쿠키를 브라우저에 반영할 때 영향을 미칩니다.
💡 쉬운 설명
악의적인 서브도메인이 원래 보호받아야 할 중요한 쿠키 설정을 마음대로 변경할 수 있는 문제입니다. 이로 인해 쿠키의 보안 범위가 넓어져 보안이 약화될 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.4, Host-Only scope on an existing parent-domain cookie can be removed by a subdomain. A user who accesses an untrusted subdomain can consequently have host-only protections stripped from cookies, although impact is limited when applications do not reflect those cookies to a browser. This issue is fixed in version 3.14.4.
📍 영향받는 시스템
AIOHTTP 버전 3.14.4 미만
⚔️ 공격 벡터
신뢰할 수 없는 서브도메인을 통해 부모 도메인의 Host-Only 쿠키 설정을 조작
🛡️ 대응 방법
AIOHTTP를 최신 버전인 3.14.4 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 3.14.4보다 낮은지 확인
pip show aiohttp | grep Version