🇰🇷 한글 설명
AIOHTTP 3.13.4 이전 버전에서 multipart form 필드 처리 시 클라이언트 최대 크기 제한을 확인하기 전에 전체 필드를 메모리에 로드하는 문제가 발생합니다. 이는 메모리 고갈 및 서비스 거부(DoS) 공격으로 이어질 수 있습니다. 버전 3.13.4 이상으로 업그레이드하여 해결됩니다.
💡 쉬운 설명
AIOHTTP 웹 서버에서 파일 업로드 시 크기 제한을 제대로 확인하지 않고 메모리에 모두 로드합니다. 공격자가 제한을 초과하는 큰 파일을 보내서 서버 메모리를 고갈시키고 서비스를 중단시킬 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to version 3.13.4, for some multipart form fields, aiohttp read the entire field into memory before checking client_max_size. This issue has been patched in version 3.13.4.
📍 영향받는 시스템
AIOHTTP < 3.13.4
⚔️ 공격 벡터
client_max_size를 초과하는 multipart form 필드를 포함한 HTTP POST 요청 전송
🛡️ 대응 방법
AIOHTTP를 3.13.4 이상으로 업그레이드 (pip install --upgrade aiohttp)
🔧 검증 코드
버전 번호가 3.13.4 이상이면 'Patched', 미만이면 'Vulnerable' 출력됨
pip show aiohttp | grep Version | awk '{print $2}' | awk -F. '{if ($1 > 3 || ($1 == 3 && $2 > 13) || ($1 == 3 && $2 == 13 && $3 >= 4)) print "Patched"; else print "Vulnerable"}'