🇰🇷 한글 설명
AIOHTTP 3.14.2 이전 버전의 WebSocket 클라이언트에서 permessage-deflate 확장이 협상되지 않았음에도 RSV1 비트가 설정된 프레임을 수락하고 압축을 해제하는 취약점이 존재합니다. 이로 인해 악의적인 서버가 클라이언트의 CPU 및 메모리 자원을 과도하게 소모하게 만들 수 있습니다. 이 문제는 3.14.2 버전에서 수정되었습니다.
💡 쉬운 설명
웹사이트와 통신할 때 사용하는 프로그램이 잘못된 압축 데이터를 처리하느라 컴퓨터 자원을 너무 많이 쓰게 되는 문제입니다. 나쁜 서버가 이 기능을 악용하면 컴퓨터가 느려지거나 멈출 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.2, the WebSocket client accepts and decompresses frames with the RSV1 bit set even when the permessage-deflate extension was not negotiated, allowing a malicious server to cause unexpected CPU and memory consumption. This issue is fixed in version 3.14.2.
📍 영향받는 시스템
AIOHTTP 3.14.2 미만 버전
⚔️ 공격 벡터
악의적인 서버가 WebSocket 통신 중 비정상적인 압축 설정(RSV1 비트)이 포함된 프레임을 전송하여 클라이언트를 공격
🛡️ 대응 방법
AIOHTTP를 3.14.2 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.14.2보다 낮으면 취약한 상태입니다.
pip show aiohttp | grep Version