🇰🇷 한글 설명
AIOHTTP 3.14.1 이전 버전에서 정리(cleanup) 과정 중 압축된 요청 본문이 메모리에 한 번에 압축 해제될 수 있는 취약점이 존재합니다. 공격자가 특정 상황에서 압축된 페이로드를 전송할 경우, 메모리 과다 점유로 인한 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
압축된 파일을 풀 때 갑자기 메모리를 엄청나게 많이 사용하게 만드는 공격 방식입니다. 이로 인해 서버가 과부하에 걸려 정상적인 서비스를 제공하지 못할 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, during cleanup it is possible for a compressed request body to be decompressed into memory in one chunk. An attacker may be able to send a compressed payload in specific situations that could be decompressed into memory, potentially leading to DoS (a zip bomb edge case). This vulnerability is fixed in 3.14.1.
📍 영향받는 시스템
AIOHTTP 3.14.1 미만 버전
⚔️ 공격 벡터
압축된 페이로드를 포함한 특수하게 조작된 HTTP 요청 전송
🛡️ 대응 방법
AIOHTTP를 3.14.1 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 3.14.1보다 낮으면 취약한 상태입니다.
pip show aiohttp | grep Version