🇰🇷 한글 설명
AIOHTTP 3.14.1 미만 버전의 DigestAuthMiddleware에서 교차 출처 리다이렉트 이후 인증 응답을 전송하는 취약점이 발견되었습니다. 이 취약점을 악용하려면 대상 도메인에 오픈 리다이렉트 취약점이 필요하며, 공격자는 암호화가 약하거나 비밀번호를 재사용하는 경우 사용자의 자격 증명을 탈취할 수 있습니다. 해당 문제는 3.14.1 버전에서 수정되었습니다.
💡 쉬운 설명
웹사이트가 다른 사이트로 자동으로 연결될 때, 중요한 로그인 정보가 엉뚱한 곳으로 흘러나갈 수 있는 문제입니다. 공격자가 가짜 사이트로 유도하면 사용자의 비밀번호 일부가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, DigestAuthMiddleware can send an authentication response after following a cross-origin redirect. This likely requires an open redirect vulnerability or similar on the target domain for an attacker to be able to execute. Further, the attacker is only receiving the digest, so should only be able to extract the user's credentials if the cryptography is weak or there is some kind of password reuse. This vulnerability is fixed in 3.14.1.
📍 영향받는 시스템
AIOHTTP versions prior to 3.14.1
⚔️ 공격 벡터
대상 도메인의 오픈 리다이렉트 취약점을 이용한 교차 출처 인증 정보 유출
🛡️ 대응 방법
AIOHTTP를 3.14.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.14.1 미만이면 취약한 상태이며, 3.14.1 이상이면 안전합니다.
pip show aiohttp | grep Version