🇰🇷 한글 설명
AIOHTTP는 asyncio와 Python을 위한 비동기 HTTP 클라이언트/서버 프레임워크입니다. 3.13.4 버전 이전에는 다른 오리진으로 리다이렉트될 때 Authorization 헤더는 삭제하지만, Cookie와 Proxy-Authorization 헤더는 유지하는 취약점이 존재합니다.
💡 쉬운 설명
웹사이트 주소가 바뀔 때 보안을 위해 로그인 정보를 지워야 하는데, 일부 정보(쿠키 등)가 그대로 남아 다른 사이트로 전송되는 문제입니다. 이로 인해 민감한 인증 정보가 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to version 3.13.4, when following redirects to a different origin, aiohttp drops the Authorization header, but retains the Cookie and Proxy-Authorization headers. This issue has been patched in version 3.13.4.
📍 영향받는 시스템
aiohttp 3.13.4 미만 버전
⚔️ 공격 벡터
리다이렉트 응답을 유도하여 대상 서버로 Cookie 및 Proxy-Authorization 헤더를 전송하게 함
🛡️ 대응 방법
aiohttp 라이브러리를 3.13.4 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 3.13.4보다 낮으면 취약한 상태이며, 3.13.4 이상이면 안전합니다.
pip show aiohttp | grep Version