Le parseur C d'AIOHTTP (llhttp) accepte les octets nuls et les caractères de contrôle dans les valeurs des en-têtes de réponse - injection d'en-tête/contournement de sécurité

L'impact de cette vulnérabilité est significatif. Un attaquant peut exploiter cette faille pour manipuler la manière dont le serveur interprète les en-têtes HTTP. Cela peut permettre de contourner des mécanismes de sécurité basés sur la validation des en-têtes, comme la vérification de l'origine des requêtes. Par exemple, un attaquant pourrait injecter des caractères de contrôle dans l'en-tête Host pour induire le serveur en erreur quant à l'origine de la requête. Le risque de contournement de sécurité pourrait permettre l'accès non autorisé à des ressources sensibles ou l'exécution de code malveillant. Bien qu'il n'y ait pas de cas d'exploitation publique connus, la sévérité critique de la vulnérabilité indique un risque élevé d'exploitation si elle est découverte et exploitée.

Applications built using aiohttp, particularly those deployed in production environments and handling sensitive data, are at risk. Services relying on accurate header parsing for authentication, authorization, or routing are especially vulnerable. Shared hosting environments where users have limited control over server configurations are also at increased risk.

• python / server:

import aiohttp

async def check_aiohttp_version():
    try:
        import aiohttp
        print(f"aiohttp version: {aiohttp.__version__}")
        if aiohttp.__version__ <= '3.9.5':
            print("VULNERABLE: aiohttp version is less than or equal to 3.9.5")
        else:
            print("aiohttp version is not vulnerable.")
    except ImportError:
        print("aiohttp is not installed.")

if __name__ == '__main__':
    import asyncio
    asyncio.run(check_aiohttp_version())

• generic web:

curl -I https://example.com | grep -i 'Content-Type:'

Inspect the Content-Type header for unexpected characters or encodings that might indicate manipulation.

1. 2026-04-01Disclosure

   disclosure

1. Réservé2026-03-30
2. Publiée2026-04-01
3. Modifiée2026-04-06
4. EPSS mis à jour2026-04-09

La mitigation principale consiste à mettre à jour aiohttp vers la version 3.13.4 ou ultérieure. Si la mise à jour n'est pas immédiatement possible, des mesures temporaires peuvent être prises. Il est possible de configurer un proxy inverse ou un WAF (Web Application Firewall) pour filtrer les en-têtes HTTP entrants et supprimer les caractères de contrôle suspects. Des règles WAF peuvent être créées pour bloquer les requêtes contenant des caractères non valides dans les en-têtes. En outre, il est recommandé de valider rigoureusement les en-têtes HTTP côté serveur avant de les utiliser dans des opérations critiques. Après la mise à jour, vérifiez la correction en envoyant des requêtes avec des en-têtes contenant des caractères de contrôle et en confirmant que ces requêtes sont correctement traitées et rejetées.