🇰🇷 한글 설명
AIOHTTP의 C 파서가 응답 헤더에서 null 바이트와 제어 문자를 부정확하게 허용하여 헤더 인젝션 및 프로토콜 우회 공격을 가능하게 합니다. 버전 3.13.4에서 입력 검증이 강화되었습니다.
💡 쉬운 설명
AIOHTTP라는 Python 라이브러리의 버그로 인해, 서버로부터 받은 특별한 문자들을 올바르게 거부하지 못합니다. 공격자가 이를 악용하여 보안 필터를 우회하거나 데이터를 변조할 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to version 3.13.4, the C parser (the default for most installs) accepted null bytes and control characters in response headers. This issue has been patched in version 3.13.4.
📍 영향받는 시스템
AIOHTTP < 3.13.4 (C 파서 사용 시, 대부분의 기본 설치)
⚔️ 공격 벡터
원격 공격자가 null 바이트/제어 문자가 포함된 악의적 HTTP 응답을 전송하여 헤더 인젝션/프로토콜 우회 유발
🛡️ 대응 방법
AIOHTTP를 3.13.4 이상으로 업그레이드 (pip install --upgrade aiohttp)
🔧 검증 코드
Vulnerable 출력 시 패치 필요, Patched 출력 시 안전 상태
python -c "import aiohttp; from packaging import version; print('Vulnerable' if version.parse(aiohttp.__version__) < version.parse('3.13.4') else 'Patched')"