AIOHTTP heeft een omzeiling van de Multipart Header Grootte

De kwetsbaarheid ontstaat doordat multipart headers niet onderhevig waren aan dezelfde groottebeperkingen als normale headers. Dit maakte het mogelijk om aanzienlijk meer data in het geheugen te laden dan beoogd. Hoewel andere beperkingen de impact enigszins beperken, kan een kwaadwillende actor nog steeds een DoS-aanval uitvoeren door een response met een extreem groot aantal multipart headers te versturen. Dit kan leiden tot een crash van de aiohttp server of een aanzienlijke vertraging, waardoor de beschikbaarheid van de webapplicatie wordt aangetast. De ernst van de impact hangt af van de configuratie van de server en de hoeveelheid beschikbare resources.

Applications relying on aiohttp for handling HTTP requests, particularly those deployed in public-facing environments or handling sensitive data, are at risk. Systems with older aiohttp versions (≤3.9.5) and those lacking robust rate limiting or WAF protection are especially vulnerable.

• python / server:

  # Check aiohttp version
  python -c "import aiohttp; print(aiohttp.__version__)"
  # Monitor memory usage with top/htop
  top

• generic web:

  # Check for unusually large headers in access logs (example)
  grep -i 'multipart' /var/log/nginx/access.log | head -n 10

1. 2026-04-01Disclosure

   disclosure

1. Gereserveerd2026-03-30
2. Gepubliceerd2026-04-01
3. Gewijzigd2026-04-06
4. EPSS bijgewerkt2026-04-09

De primaire mitigatie is het upgraden van aiohttp naar versie 3.13.4 of hoger, waarin de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het implementeren van een Web Application Firewall (WAF) die het aantal multipart headers beperkt. Configureer de WAF om requests met een abnormaal hoog aantal headers te blokkeren. Controleer de aiohttp configuratie om te zien of er instellingen zijn die de grootte van headers verder kunnen beperken. Na de upgrade, verifieer de fix door een testrequest met een groot aantal multipart headers te versturen en controleer of het geheugengebruik binnen acceptabele grenzen blijft.