🇰🇷 한글 설명
AIOHTTP는 asyncio와 Python을 위한 비동기 HTTP 클라이언트/서버 프레임워크입니다. 3.13.4 버전 이전에서는 Response 생성 시 reason 파라미터를 제어할 수 있는 공격자가 추가 헤더를 주입하는 등의 공격을 수행할 수 있으며, 이는 3.13.4 버전에서 패치되었습니다.
💡 쉬운 설명
웹 서버가 응답을 보낼 때 사용하는 특정 문구에 악성 데이터를 넣어 가짜 헤더를 추가할 수 있는 취약점입니다. 이를 통해 공격자가 브라우저를 속이거나 잘못된 정보를 전달할 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to version 3.13.4, an attacker who controls the reason parameter when creating a Response may be able to inject extra headers or similar exploits. This issue has been patched in version 3.13.4.
📍 영향받는 시스템
AIOHTTP 3.13.4 미만 버전
⚔️ 공격 벡터
Response 객체의 reason 파라미터에 개행 문자 등을 삽입하여 HTTP 헤더 주입(Header Injection) 수행
🛡️ 대응 방법
AIOHTTP 라이브러리를 3.13.4 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 3.13.4보다 낮은 경우 취약한 상태입니다.
pip show aiohttp | grep Version