🇰🇷 한글 설명
AIOHTTP 3.14.2 이전 버전의 HTTP 파서에서 WebSocket 업그레이드 관련 요청 스머글링 취약점이 발견되었습니다. 공격자가 WebSocket 업그레이드 요청에 본문을 포함할 경우, 파서가 요청 본문을 완전히 수신하기 전에 프로토콜을 전환하여 잔여 데이터를 잘못 처리할 수 있습니다. 이 문제는 3.14.2 버전에서 수정되었습니다.
💡 쉬운 설명
웹사이트와 통신하는 도구에서 데이터의 경계를 잘못 구분하여 발생하는 보안 문제입니다. 공격자가 몰래 숨겨놓은 명령어를 서버가 정상적인 데이터로 착각하여 실행하게 만들 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.2, the HTTP parsers were vulnerable to a request smuggling attack relating to WebSocket upgrades. If using the server-side component, an attacker may be able to execute a request smuggling vulnerability using an edge case in the WebSocket upgrade procedure. A WebSocket upgrade request with a body could cause the parser to switch protocols before the complete request body was received, leaving trailing bytes to be handled as upgraded-protocol or pipelined data rather than normal HTTP body data. This issue is fixed in version 3.14.2.
📍 영향받는 시스템
AIOHTTP 버전 3.14.2 미만
⚔️ 공격 벡터
WebSocket 업그레이드 요청 시 본문을 포함하여 HTTP 파서의 프로토콜 전환 시점을 조작하는 방식
🛡️ 대응 방법
AIOHTTP를 최신 버전인 3.14.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.14.2보다 낮으면 취약한 상태입니다.
pip show aiohttp | grep Version