CVE-2025-69229
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
AIOHTTP to asynchroniczny framework HTTP dla asyncio i Pythona. W wersjach 3.13.2 i starszych obsługa wiadomości chunked może prowadzić do nadmiernego blokującego użycia CPU przy odbieraniu dużej liczby chunków. Jeśli aplikacja używa metody request.read() w endpoincie, atakujący może spowodować, że serwer spędzi umiarkowany czas blokującego CPU (np. 1 sekundę) na przetwarzaniu żądania. Może to potencjalnie prowadzić do ataku DoS, ponieważ serwer nie będzie mógł obsłużyć innych żądań w tym czasie. Problem został naprawiony w wersji 3.13.3.
Ocena ryzyka
Atakujący może wywołać atak typu Denial of Service (DoS), przeciążając serwer i uniemożliwiając obsługę innych żądań. Może to prowadzić do niedostępności usługi dla legalnych użytkowników.
Rekomendacja
Zaktualizuj bibliotekę AIOHTTP do wersji 3.13.3 lub nowszej, która zawiera poprawkę. Do czasu aktualizacji rozważ ograniczenie rozmiaru i liczby chunków w żądaniach oraz monitoruj obciążenie CPU.
Inne podatności w AIOHTTP
Zobacz wszystkie- GHSA-2g87-pp6c-29x5Wysokie
W aiohttp wykryto wiele przypadków nadmiernego lub nieograniczonego zużycia pamięci oraz nadmiernego zużycia CPU przy żądaniach kontrolowanych przez atakującego. Atakujący może wywołać wyczerpanie zasobów za pomocą specjalnie spreparowanych żądań.
- CVE-2026-111750Średnie
W bibliotece aiohttp w wersjach przed 3.14.4 czysty parser Pythona akceptuje niejednoznaczne ramkowanie żądań HTTP. Nieuwierzytelniony atakujący może przemycić żądania, gdy aplikacja działa bez standardowego wheel (np. z AIOHTTP_NO_EXTENSIONS), a pośrednik interpretuje ramkowanie inaczej.
- CVE-2026-111749Niskie
W AIOHTTP przed wersją 3.14.4 subdomena może usunąć zakres Host-Only z istniejącego pliku cookie domeny nadrzędnej. Użytkownik odwiedzający niezaufaną subdomenę może utracić ochronę Host-Only dla plików cookie.
- CVE-2026-111748Średnie
W aiohttp przed 3.14.4 atakujący może wysłać żądanie w formie absolutnej, powodując, że Request.scheme użyje danych schematu z żądania kontrolowanych przez atakującego zamiast protokołu połączenia. Aplikacje używające Request.scheme do decyzji bezpieczeństwa mogą zostać oszukane co do szyfrowania połączenia.
- CVE-2026-111066Wysokie
AIOHTTP to asynchroniczny framework HTTP dla asyncio i Pythona. Od wersji 2.0.0 do 3.14.4 przetwarzanie żądań multipart może utrzymywać nieograniczoną liczbę otwartych deskryptorów plików. Nieuwierzytelniony atakujący może wyczerpać deskryptory plików za pomocą specjalnie spreparowanych żądań multipart, gdy handler używa Request.post(). Problem naprawiono w wersji 3.14.4.
- CVE-2026-111065Średnie
W aiohttp przed 3.14.4 przetwarzanie Max-Age może spowodować przepełnienie i pominięcie zamknięcia połączenia. Atakujący może tymczasowo wyczerpać pulę połączeń, dopóki garbage collection nie rozwiąże problemu.
- CVE-2026-111064Wysokie
AIOHTTP to asynchroniczny framework HTTP dla asyncio i Pythona. Przed wersją 3.14.4 obsługa limitu czasu keepalive jest nieobecna w początkowej części żądania. Atakujący może utrzymywać bezczynne połączenie otwarte bezterminowo przed wysłaniem jakichkolwiek danych żądania, zużywając pojemność połączeń serwera. Problem naprawiono w wersji 3.14.4.
- CVE-2026-111063Średnie
W aiohttp przed 3.14.4 atrybut Secure dla współdzielonego pliku cookie nie jest wymuszany. Atakujący może spowodować, że współdzielony plik cookie oznaczony jako Secure zostanie wysłany z niezaszyfrowanym żądaniem.
- CVE-2026-69244Wysokie
AIOHTTP, asynchroniczny framework HTTP dla Pythona, przed wersją 3.14.3, zawiera podatność na odczyt poza zakresem sterty w parserze odpowiedzi C. Podczas budowania komunikatu błędu dla nieprawidłowej odpowiedzi, może dojść do odczytu poza zakresem, co może prowadzić do DoS w kliencie. Problem naprawiono w wersji 3.14.3.
- CVE-2026-69243Średnie
AIOHTTP przed wersją 3.14.2 zawiera podatność na przemycanie żądań (request smuggling) związaną z aktualizacją WebSocket. Żądanie aktualizacji WebSocket z ciałem może spowodować przełączenie protokołów przed otrzymaniem pełnego ciała żądania, pozostawiając końcowe bajty do obsłużenia jako dane protokołu uaktualnionego lub potokowane, a nie normalne dane HTTP.
Oryginalny opis (angielski, źródło NVD)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. In versions 3.13.2 and below, handling of chunked messages can result in excessive blocking CPU usage when receiving a large number of chunks. If an application makes use of the request.read() method in an endpoint, it may be possible for an attacker to cause the server to spend a moderate amount of blocking CPU time (e.g. 1 second) while processing the request. This could potentially lead to DoS as the server would be unable to handle other requests during that time. This issue is fixed in version 3.13.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS