🇰🇷 한글 설명
AIOHTTP 3.14.0 미만 버전에서 CookieJar.load() 함수를 신뢰할 수 없는 입력값과 함께 사용할 경우 임의 코드가 실행될 수 있는 취약점이 발견되었습니다. 대부분의 애플리케이션은 사용자 데이터를 처리하므로 영향 범위가 제한적일 수 있으나, 공격자가 제어하는 파일을 로드하는 경우 위험합니다. 3.14.0 버전에서 이 문제가 해결되었습니다.
💡 쉬운 설명
해커가 조작한 파일을 프로그램에 불러오게 만들면, 컴퓨터가 해커의 명령어를 마음대로 실행할 수 있는 보안 구멍입니다. 쿠키 정보를 불러오는 과정에서 발생하는 문제로, 최신 버전으로 업데이트하면 안전합니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to version 3.14.0, using ``CookieJar.load()`` with untrusted input may allow arbitrary code execution. Most applications using this function will be doing so with the user's own data, so this is unlikely to affect many applications. Version 3.14.0 patches the issue. If an application does allow attacker controlled files to be loaded, a workaround on older releases would be to sanitize the files before loading.
📍 영향받는 시스템
AIOHTTP 3.14.0 미만 버전
⚔️ 공격 벡터
신뢰할 수 없는 외부 입력값(파일)을 CookieJar.load() 함수에 전달하여 악성 코드 실행
🛡️ 대응 방법
AIOHTTP를 3.14.0 이상의 버전으로 업데이트하거나, 파일을 로드하기 전 입력값을 반드시 검증하십시오.
🔧 검증 코드
출력된 버전 번호가 3.14.0보다 낮으면 취약한 상태입니다.
pip show aiohttp | grep Version