注目★★★★★GitHub Advisory
AIOHTTP の C パーサーにヒープ読み取り脆弱性、不正なチャンク応答で DoS の可能性
30秒で把握
- 1AIOHTTP の C パーサーに不正チャンク応答でのヒープ読み取り脆弱性を確認
- 2攻撃者制御サーバーまたは不正応答でクライアント DoS が発生する可能性
- 3Python パーサーは未影響・`AIOHTTP_NO_EXTENSIONS=1` で回避可能・パッチ適用を推奨
要約
AIOHTTP の C HTTP レスポンスパーサーに、不正なチャンク応答の処理時にヒープ領域外の読み取りが発生する脆弱性が存在する。攻撃者が制御するサーバーまたは意図しない不正応答によってクライアントの DoS が発生する可能性がある。Python パーサーは影響を受けないため、環境変数 `AIOHTTP_NO_EXTENSIONS=1` で Python 実装に切り替え可能である。パッチが提供されており、アップグレードが推奨される。
あなたへの影響
AIOHTTP を使用するサービスは、特に外部 API と通信する場合にこの脆弱性の影響を受ける可能性がある。
推奨：緊急性は中程度だが、一時的な対応として `AIOHTTP_NO_EXTENSIONS=1` で Python パーサーに切り替えるか、最新版へのアップグレードを次スプリントでの検証対象とすべき。