O analisador C do AIOHTTP (llhttp) aceita bytes nulos e caracteres de controle em valores de cabeçalho de resposta - injeção de cabeçalho/ignora a segurança

Um atacante pode explorar esta vulnerabilidade enviando headers HTTP com valores contendo bytes nulos ou caracteres de controle. Esses caracteres podem ser usados para manipular a forma como a aplicação interpreta o header Host ou outros headers relacionados, levando a um bypass de autenticação ou autorização. Por exemplo, um atacante poderia modificar o valor retornado por request.url.origin(), induzindo a aplicação a acreditar que está se comunicando com um servidor diferente do pretendido. O impacto potencial é significativo, incluindo a possibilidade de roubo de dados sensíveis, execução remota de código e comprometimento completo do sistema. A exploração bem-sucedida pode permitir o acesso não autorizado a recursos protegidos e a execução de ações em nome de usuários legítimos.

Applications built using aiohttp, particularly those deployed in production environments and handling sensitive data, are at risk. Services relying on accurate header parsing for authentication, authorization, or routing are especially vulnerable. Shared hosting environments where users have limited control over server configurations are also at increased risk.

• python / server:

import aiohttp

async def check_aiohttp_version():
    try:
        import aiohttp
        print(f"aiohttp version: {aiohttp.__version__}")
        if aiohttp.__version__ <= '3.9.5':
            print("VULNERABLE: aiohttp version is less than or equal to 3.9.5")
        else:
            print("aiohttp version is not vulnerable.")
    except ImportError:
        print("aiohttp is not installed.")

if __name__ == '__main__':
    import asyncio
    asyncio.run(check_aiohttp_version())

• generic web:

curl -I https://example.com | grep -i 'Content-Type:'

Inspect the Content-Type header for unexpected characters or encodings that might indicate manipulation.

1. 2026-04-01Disclosure

   disclosure

1. Reservado2026-03-30
2. Publicada2026-04-01
3. Modificada2026-04-06
4. EPSS atualizado2026-04-09

A mitigação primária para CVE-2026-34520 é a atualização para a versão 3.13.4 do aiohttp ou superior. Se a atualização imediata não for possível devido a incompatibilidades, considere implementar medidas de proteção adicionais. Uma possível solução temporária é a utilização de um Web Application Firewall (WAF) ou proxy reverso configurado para filtrar headers HTTP com caracteres de controle suspeitos. Além disso, revise a configuração da aplicação para garantir que a validação de entrada seja rigorosa e que os dados recebidos via headers sejam tratados com cautela. Após a atualização, confirme a correção da vulnerabilidade verificando se os headers HTTP são processados corretamente e se a aplicação não está mais suscetível a manipulação via caracteres de controle.