aiohttp에서 발생한 CVE-2026-111064 취약점은 부분 헤더 바이트가 첫 요청 마감 시점을 연장하면서 생기는 문제입니다. 공격자가 헤더를 매우 느리게 전송해 서버 자원을 고갈시키고 서비스 거부(DoS) 상태로 만드는 위험을 안고 있습니다.
CVE-2026-111064 취약점 개요 및 위험성
최근 aiohttp 라이브러리에서 심각한 보안 취약점이 발견되었습니다. 식별자는 CVE-2026-111064이며, GitHub Advisory Database에는 GHSA-5wr8-gcqf-gqf3라는 관련 식별자가 함께 기재되어 있습니다.
이 취약점은 CVSS 점수 8.2(High)로 평가되었습니다. 만만치 않은 수치입니다. 개별 요청의 오류를 일으키는 수준이 아니라, 서버의 가용성 자체를 무너뜨리는 서비스 거부(DoS) 공격으로 이어질 수 있기 때문입니다. 특히 백엔드 서비스가 리버스 프록시나 API 게이트웨이의 보호 없이 외부에 직접 노출되어 있는 구성이라면, 외부 공격자가 취약 조건을 직접 조성해 공격할 가능성이 큽니다. 이런 환경이 최우선적인 점검 대상입니다.
기술적 분석: Slowloris류 자원 고갈 공격 원리
CVE-2026-111064의 핵심적인 기술적 결함은 ‘첫 요청 마감 시점(first-request deadline)’의 처리 방식에 있습니다. 정상적인 상황이라면 첫 요청 마감 시점은 정해진 시간 안에 요청이 완료되어야 한다는 의미이며, 이 시간이 지나면 연결이 종료되어야 합니다.
그런데 취약한 버전에서는 클라이언트가 부분 헤더 바이트(partial header bytes)를 지속적으로 전송할 경우 서버가 첫 요청 마감 시점을 사실상 계속 연장하게 됩니다. 공격자는 헤더를 아주 느리게 나누어 보내는 소위 ‘트리클(trickle)’ 방식으로 연결을 끊지 않은 채 유지할 수 있습니다.
이러한 공격 기법은 전형적인 Slowloris류의 저속(low-and-slow) 자원 고갈 공격과 같은 계열입니다. 공격자가 소수의 연결만으로도 서버의 다음과 같은 핵심 자원을 점유하게 됩니다:
- 메모리 자원: 각 연결 상태를 유지하기 위한 메모리 점유
- 파일 디스크립터: 네트워크 소켓 유지를 위한 OS 자원 소모
- 작업자(Worker): 요청을 처리하기 위해 대기하는 프로세스 또는 스레드 자원 고갈
이렇게 되면 정당한 사용자의 요청을 처리할 자원이 남아 있지 않고, 서비스 전체가 중단되는 DoS 상태에 이르게 됩니다.
취약 버전 범위 및 패치 버전 안내
현재 확인된 취약 버전 범위는 aiohttp(pip) 3.14.3 이하 버전입니다. 운영 중인 서비스에서 쓰는 aiohttp 라이브러리의 버전을 바로 확인해 아래 표에 명시된 패치 버전으로 업데이트하는 것이 먼저입니다.
| 구분 | 버전 정보 | 상태 |
|---|---|---|
| 취약 버전 범위 | aiohttp 3.14.3 이하 (또는 3.14.4 미만) | 취약 (Vulnerable) |
| 최초 패치 버전 | aiohttp 3.14.4 | 수정 완료 (Patched) |
조사 시점 기준으로 이 취약점을 악용한 공개 PoC(Proof of Concept)나 실제 공격 사례는 확인되지 않았습니다. 다만 취약점의 특성상 공격 구현이 비교적 단순하므로 선제적인 대응이 필수입니다.
대응 방안 및 업그레이드 권고
시스템 보안 담당자와 백엔드 개발자는 다음 조치 사항을 즉시 이행하도록 권합니다.
1. 라이브러리 즉시 업데이트
가장 확실한 해결책은 aiohttp를 3.14.4 버전 이상으로 업그레이드하는 것입니다. 3.14.4 릴리스에는 이런 중요한 수정 사항이 포함되어 있습니다.
- 유휴 연결 종료(close idle connections) 수정: 부분 헤더 전송으로 인해 마감 시점이 비정상적으로 연장되는 문제를 해결해 자원 고갈 위험을 제거했습니다.
- C HTTP 파서 정합성 개선: C HTTP 파서가 헤더 값의 후행 공백을 제거하도록 수정되어 pure-Python 파서 및 RFC 9110 5.5절의 표준 규격과 일치하도록 정합성을 높였습니다.
2. 인프라 구성 점검
라이브러리 업데이트와 더불어 서버의 네트워크 노출 환경도 다시 짚어보십시오. aiohttp 서버를 외부 인터넷에 직접 노출하는 대신, 다음과 같은 보안 계층을 앞에 두는 편이 안전합니다.
- 리버스 프록시(Reverse Proxy) 도입: Nginx, HAProxy 등 전문 프록시 서버가 비정상적인 저속 연결을 1차적으로 차단해 줍니다.
- API 게이트웨이 활용: 요청 타임아웃 및 속도 제한(Rate Limiting) 설정으로 Slowloris형 공격에 대한 방어력을 높입니다.
3. 영향도 평가 및 모니터링
업데이트 전까지 아래 지표를 집중 모니터링해 이상 징후를 감지하십시오.
- 평소보다 급증한 TCP 연결 수 및
CLOSE_WAIT또는FIN_WAIT상태의 연결 누적 여부. - CPU 사용량은 낮으나 메모리 및 파일 디스크립터 사용량이 임계치에 도달하는 현상.
- 정상적인 요청에 대한 응답 시간이 급격히 증가하거나 타임아웃이 발생하는 빈도.
CVE-2026-111064는 서비스 가용성에 직접적인 타격을 주는 고위험 취약점입니다. 운영 중인 환경의 aiohttp 버전을 확인하고 즉시 3.14.4 버전으로 업데이트하면 자원 고갈로 인한 서비스 중단 사태를 막을 수 있습니다.