🇰🇷 한글 설명
AIOHTTP 3.14.1 미만 버전의 C 파서에서 HTTP 요청의 max_line_size 체크를 우회할 수 있는 취약점이 발견되었습니다. 최적화된 C 파서를 사용하는 경우 공격자가 비정상적으로 긴 라인을 전송하여 과도한 메모리를 사용하게 함으로써 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
웹 서버가 한 번에 읽을 수 있는 데이터 크기 제한을 무시하고 아주 긴 데이터를 보내는 공격입니다. 이로 인해 서버의 메모리가 가득 차서 서비스가 멈출 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, it is possible to bypass the max_line_size check in parts of an HTTP request in the C parser. If using the optimised C parser (the default in pre-built wheels), then an attacker may be able to send oversized lines through the HTTP parser and use an excessive amount of memory, potentially leading to DoS. This vulnerability is fixed in 3.14.1.
📍 영향받는 시스템
AIOHTTP versions prior to 3.14.1
⚔️ 공격 벡터
HTTP 요청 내에 허용된 크기를 초과하는 매우 긴 라인을 포함하여 전송
🛡️ 대응 방법
AIOHTTP를 3.14.1 버전 이상으로 업데이트
🔧 검증 코드
출력된 Version 값이 3.14.1 미만이면 취약한 상태입니다.
pip show aiohttp | grep Version