🇰🇷 한글 설명
AIOHTTP 3.14.3 이전 버전의 C 응답 파서에서 잘못된 형식의 응답을 처리할 때 경계 외 힙 읽기(out-of-bounds heap read)가 발생할 수 있습니다. 공격자가 제어하는 서버가 악의적인 응답을 보낼 경우 클라이언트 측에서 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
웹사이트와 통신하는 프로그램이 잘못된 데이터를 받았을 때, 데이터를 읽는 과정에서 오류가 발생해 프로그램이 멈출 수 있는 문제입니다. 나쁜 의도를 가진 서버가 특수한 데이터를 보내면 사용자의 프로그램이 강제로 종료될 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.3, an out-of-bounds heap read could occur in the C response parser while building an error message for a malformed response. An attacker controlled server, or possibly an accidental response, could trigger a DoS in the client. The vulnerable path was error message construction in aiohttp/_http_parser.pyx, where an llhttp error-position pointer was used to build a snippet for malformed chunked responses and malformed request or response bytes at the buffer end. This issue is fixed in version 3.14.3.
📍 영향받는 시스템
AIOHTTP versions prior to 3.14.3
⚔️ 공격 벡터
공격자가 제어하는 서버가 클라이언트에 조작된 HTTP 응답을 전송하여 발생
🛡️ 대응 방법
AIOHTTP를 3.14.3 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.14.3 미만이면 취약한 상태이며, 3.14.3 이상이면 안전합니다.
pip show aiohttp | grep Version