🇰🇷 한글 설명
AIOHTTP 3.14.0 미만 버전에서 요청별 쿠키 설정 시 크로스 오리진 리다이렉트 발생 시 민감한 쿠키 데이터가 외부로 유출될 수 있는 취약점입니다. 이는 공격자가 리다이렉트 경로를 제어할 경우 발생할 수 있는 보안 문제입니다.
💡 쉬운 설명
웹 요청 시 설정된 쿠키 정보가 잘못된 리다이렉트를 통해 해커에게 넘어갈 수 있는 문제입니다. 이를 방지하려면 최신 버전으로 업데이트하거나 쿠키 설정 방법을 변경해야 합니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to version 3.14.0, cookies set with the `cookies` parameter on requests are sent after following a cross-origin redirect. If a developer uses the `cookies` parameter on a per-request basis then sensitive data might be leaked to an attacker if they manage to control a redirect. Version 3.14.0 patches the issue. If unable to upgrade, using a `Cookie` header in the `headers` parameter is not vulnerable.
📍 영향받는 시스템
AIOHTTP version < 3.14.0
⚔️ 공격 벡터
공격자가 리다이렉트 URL을 조작하여 민감한 쿠키를 외부 도메인으로 전송
🛡️ 대응 방법
AIOHTTP을 버전 3.14.0 이상으로 업그레이드하거나 headers 파라미터를 사용하여 쿠키를 설정
🔧 검증 코드
출력된 버전이 3.14.0 미만인 경우 취약한 것으로 판단하며, 3.14.0 이상이면 안전합니다.
python -c "import aiohttp; print(aiohttp.__version__)"