🇰🇷 한글 설명
AIOHTTP 3.14.4 이전 버전의 순수 파이썬 파서에서 모호한 HTTP 요청 프레이밍을 허용하는 취약점이 발견되었습니다. 인증되지 않은 공격자가 중간 매개체와 서로 다른 방식으로 프레이밍을 해석하게 만들어 HTTP 요청을 스머글링(Smuggling)할 수 있습니다.
💡 쉬운 설명
웹 서버에 전달되는 요청 메시지의 형식을 교묘하게 조작하여, 서버가 요청을 잘못 해석하도록 만드는 공격입니다. 이를 통해 공격자는 숨겨진 요청을 몰래 끼워 넣어 보안 통제를 우회할 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.4, the pure Python parser accepts ambiguous HTTP request framing. An unauthenticated attacker can consequently smuggle requests when an application uses AIOHTTP_NO_EXTENSIONS or otherwise runs without a standard wheel and an intermediary interprets the framing differently. This issue is fixed in version 3.14.4.
📍 영향받는 시스템
AIOHTTP 3.14.4 미만 버전 (AIOHTTP_NO_EXTENSIONS 설정 또는 표준 휠 미사용 시)
⚔️ 공격 벡터
모호한 HTTP 요청 프레이밍을 이용한 HTTP Request Smuggling
🛡️ 대응 방법
AIOHTTP를 3.14.4 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Version 값이 3.14.4보다 낮으면 취약한 상태입니다.
pip show aiohttp | grep Version