🇰🇷 한글 설명
python-engineio 4.13.2 미만 버전에서 수신 메시지의 크기를 메모리에 로드하기 전에 검증하지 않는 취약점이 발견되었습니다. 공격자는 ASGI 환경의 Long Polling POST 요청이나 Aiohttp 환경의 WebSocket 메시지를 통해 과도한 메모리 할당을 유도하여 서비스를 중단시킬 수 있습니다.
💡 쉬운 설명
서버가 들어오는 데이터의 크기를 확인하지 않고 무작정 메모리에 담으려다 발생하는 문제입니다. 공격자가 아주 큰 데이터를 보내 서버의 메모리를 가득 채워 컴퓨터를 멈추게 만들 수 있습니다.
🇺🇸 원문 (English)
python-engineio is a Python implementation of the Engine.IO realtime client and server. Versions prior to 4.13.2 have two specific configurations of the python-engineio server in which the size of incoming messages is not checked before the messages are loaded into memory. An attacker can take advantage of these to cause unnecessary memory allocations in the python-engineio server. The two cases are POST requests, when using ASGI with the long polling transport and WebSocket messages, when using Aiohttp with the WebSocket transport. Version 4.13.2 addresses this issue. ASGI severs now only load the body of incoming requests into memory after the client is confirmed to be known and authenticated, and the payload size is below the maximum allowed size. Requests that do not comply with these requirements are discarded. Aiohttp servers configure the maximum payload size in the underlying WebSocket layer from Aiohttp, so that large messages are discarded by Aiohttp before they are delivered to python-engineio.
📍 영향받는 시스템
python-engineio versions prior to 4.13.2
⚔️ 공격 벡터
ASGI(Long Polling) 또는 Aiohttp(WebSocket) 환경을 통한 대용량 메시지 전송
🛡️ 대응 방법
python-engineio를 4.13.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 4.13.2보다 낮으면 취약한 상태입니다.
pip show python-engineio | grep Version