CVE-2026-123817
WysokieCVSS 8.7Streszczenie
W bibliotece aiohttp przed wersją 3.14.4 czytnik WebSocket podczas składania niekompletnej ramki przechowuje jeden obiekt bytes na każdy odczyt z transportu. Złośliwy peer może podzielić ramkę na wiele drobnych odczytów, przez co narzut pamięciowy na obiekt znacznie przekracza dozwolony rozmiar ładunku max_msg_size. Dotyczy to serwera odbierającego ramki od złośliwego klienta oraz klienta odbierającego ramki od złośliwego serwera.
Ocena ryzyka
Atakujący może wywołać nadmierne zużycie pamięci lub odmowę usługi (DoS) w aplikacjach opartych na aiohttp obsługujących WebSocket. Wpływa to zarówno na serwery, jak i klientów komunikujących się ze złośliwym peerem.
Rekomendacja
Zaktualizuj bibliotekę aiohttp do wersji 3.14.4 lub nowszej. Do czasu aktualizacji rozważ ograniczenie ekspozycji usług WebSocket na niezaufane sieci.
Inne podatności w aiohttp
Zobacz wszystkie- GHSA-2g87-pp6c-29x5Wysokie
W aiohttp wykryto wiele przypadków nadmiernego lub nieograniczonego zużycia pamięci oraz nadmiernego zużycia CPU przy żądaniach kontrolowanych przez atakującego. Atakujący może wywołać wyczerpanie zasobów za pomocą specjalnie spreparowanych żądań.
- CVE-2026-111750Średnie
W bibliotece aiohttp w wersjach przed 3.14.4 czysty parser Pythona akceptuje niejednoznaczne ramkowanie żądań HTTP. Nieuwierzytelniony atakujący może przemycić żądania, gdy aplikacja działa bez standardowego wheel (np. z AIOHTTP_NO_EXTENSIONS), a pośrednik interpretuje ramkowanie inaczej.
- CVE-2026-111749Niskie
W AIOHTTP przed wersją 3.14.4 subdomena może usunąć zakres Host-Only z istniejącego pliku cookie domeny nadrzędnej. Użytkownik odwiedzający niezaufaną subdomenę może utracić ochronę Host-Only dla plików cookie.
- CVE-2026-111748Średnie
W aiohttp przed 3.14.4 atakujący może wysłać żądanie w formie absolutnej, powodując, że Request.scheme użyje danych schematu z żądania kontrolowanych przez atakującego zamiast protokołu połączenia. Aplikacje używające Request.scheme do decyzji bezpieczeństwa mogą zostać oszukane co do szyfrowania połączenia.
- CVE-2026-111066Wysokie
AIOHTTP to asynchroniczny framework HTTP dla asyncio i Pythona. Od wersji 2.0.0 do 3.14.4 przetwarzanie żądań multipart może utrzymywać nieograniczoną liczbę otwartych deskryptorów plików. Nieuwierzytelniony atakujący może wyczerpać deskryptory plików za pomocą specjalnie spreparowanych żądań multipart, gdy handler używa Request.post(). Problem naprawiono w wersji 3.14.4.
- CVE-2026-111065Średnie
W aiohttp przed 3.14.4 przetwarzanie Max-Age może spowodować przepełnienie i pominięcie zamknięcia połączenia. Atakujący może tymczasowo wyczerpać pulę połączeń, dopóki garbage collection nie rozwiąże problemu.
- CVE-2026-111064Wysokie
AIOHTTP to asynchroniczny framework HTTP dla asyncio i Pythona. Przed wersją 3.14.4 obsługa limitu czasu keepalive jest nieobecna w początkowej części żądania. Atakujący może utrzymywać bezczynne połączenie otwarte bezterminowo przed wysłaniem jakichkolwiek danych żądania, zużywając pojemność połączeń serwera. Problem naprawiono w wersji 3.14.4.
- CVE-2026-111063Średnie
W aiohttp przed 3.14.4 atrybut Secure dla współdzielonego pliku cookie nie jest wymuszany. Atakujący może spowodować, że współdzielony plik cookie oznaczony jako Secure zostanie wysłany z niezaszyfrowanym żądaniem.
- CVE-2026-69244Wysokie
AIOHTTP, asynchroniczny framework HTTP dla Pythona, przed wersją 3.14.3, zawiera podatność na odczyt poza zakresem sterty w parserze odpowiedzi C. Podczas budowania komunikatu błędu dla nieprawidłowej odpowiedzi, może dojść do odczytu poza zakresem, co może prowadzić do DoS w kliencie. Problem naprawiono w wersji 3.14.3.
- CVE-2026-69243Średnie
AIOHTTP przed wersją 3.14.2 zawiera podatność na przemycanie żądań (request smuggling) związaną z aktualizacją WebSocket. Żądanie aktualizacji WebSocket z ciałem może spowodować przełączenie protokołów przed otrzymaniem pełnego ciała żądania, pozostawiając końcowe bajty do obsłużenia jako dane protokołu uaktualnionego lub potokowane, a nie normalne dane HTTP.
Oryginalny opis (angielski, źródło NVD)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.4, the WebSocket reader retains one bytes object for each transport read while reassembling an incomplete frame. A malicious peer can split a frame into many tiny reads so per-object overhead substantially exceeds the payload bytes allowed by max_msg_size. The condition affects a server receiving frames from a malicious client and a client receiving frames from a malicious server, and can cause excessive memory consumption or denial of service. This issue is fixed in version 3.14.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS