CVE-2024-30251

Versões do aiohttp anteriores à 3.9.4

O problema está relacionado a um loop infinito que ocorre quando o servidor aiohttp processa uma solicitação POST (multipart/form-data) especialmente criada. Isso permite que um invasor impeça o aplicativo de atender solicitações após o envio de uma única solicitação, resultando em uma negação de serviço. O invasor pode enviar uma solicitação maliciosa ao servidor, fazendo com que ele entre em um loop infinito e se torne incapaz de processar novas solicitações.

Para versões anteriores à 3.9.4, atualize para a versão 3.9.4 ou posterior para resolver o problema.

Como solução temporária, os usuários que não puderem atualizar podem aplicar manualmente um patch em seus sistemas, modificando a função read chunk from length() em aiohttp/multipart.py para incluir as verificações necessárias para o fim do arquivo.

Restrinja o acesso ao módulo multipart.py vulnerável para minimizar o risco de exploração até que um patch seja aplicado.

Evite usar o tipo de solicitação multipart/form-data no endpoint da API afetado até que o problema seja resolvido.