🇰🇷 한글 설명
AIOHTTP 3.14.0 미만 버전에서 발생하는 취약점으로, 공격자가 제어하는 입력값이 multipart/payload 헤더에 포함될 경우 추가 헤더를 주입하거나 요청 내용을 수정할 수 있습니다. MultipartWriter.append 또는 Payload.headers에 사용자 제어 문자열을 전달할 때 발생하며, 이는 요청 변조로 이어질 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자가 입력한 값을 검증 없이 헤더 정보에 넣을 때 발생하는 문제입니다. 공격자가 이 틈을 타서 몰래 다른 명령어나 정보를 끼워 넣어 웹 요청을 조작할 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.0, attacker-controlled input included into multipart/payload headers can be used to modify a request to inject additional headers or similar. In the unlikely situation that an application is passing user-controlled strings into MultipartWriter.append(headers=...) or Payload.headers, then an attacker may be able to modify the request to inject headers or change the contents of the request. This vulnerability is fixed in 3.14.0.
📍 영향받는 시스템
AIOHTTP 버전 3.14.0 미만
⚔️ 공격 벡터
사용자 입력값이 MultipartWriter.append 또는 Payload.headers에 포함되어 헤더 주입(Header Injection) 발생
🛡️ 대응 방법
AIOHTTP를 최신 버전인 3.14.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.14.0 미만이면 취약한 상태입니다.
pip show aiohttp | grep Version