aiohttp GHSA-766666 修复请求头验证以符合RFC 9110

这个用户希望我总结一张网页截图中的漏洞信息。 截图是一个 GitHub 的 Commit 页面。 Commit 的标题是： 。 这看起来是一个安全修复（GHSA 开头通常代表 GitHub Security Advisory）。 1. 漏洞概述 (Vulnerability Overview): 标题: 描述: "Adjust our Python request header value validation to align with RFC 9110 request header character handling, while maintaining the existing proxy behavior, and added regression tests for both header validation scenarios." 核心问题: 调整 Python 请求头值验证以符合 RFC 9110 标准。这通常意味着之前的验证可能太宽松或太严格，导致潜在的安全问题（比如请求头注入或解析错误）。 关联: 这是一个 backport（向后移植），说明这是一个修复旧版本漏洞的补丁。 2. 影响范围 (Impact/Scope): 文件变更: (修改了请求头验证逻辑) (修改了测试客户端) (增加了回归测试) 库: (从文件路径 可以看出)。 具体代码逻辑: 在 中，修改了 正则表达式。 旧的正则： (排除了 0x00-0x08, 0x0A-0x1F, 0x7F)。注意这里排除了 0x09 (Tab) 和 0x20 (Space) 吗？不，旧的正则看起来是排除了控制字符。 新的正则： (看起来没变？等等，仔细看 diff)。 让我们仔细看 diff 中的 。 旧代码 (Line 100): 新代码 (Line 100): -> 看起来没变？ 再往下看，Line 103: 再往下看，Line 106: 等等，diff 显示的是： Line 100 (Old): Line 100 (New): -> 看起来没变。 Line 103 (Old): Line 103 (New): -> 看起来没变。 Line 106 (Old): Line 106 (New): -> 看起来没变。 重新仔细看图: Line 100: 被删除了（红色背景）。 Line 103: 被删除了（红色背景）。 Line 106: 被删除了（红色背景）。 这意味着旧的验证逻辑被移除了或者重构了。 看 的 diff: Line 221: -> (增加了大小写不敏感的 Host 检查)。 Line 225: -> 被删除了。 看 的 diff: Line 231: Line 232: Line 233: Line 234: Line 235: Line 236: Line 237: Line 238: -> 等等，这里看起来是测试 注入。 Line 240: Line 241: Line 242: Line 243: -> 这里的 diff 有点乱，让我仔细看。 Line 231-234: 测试 。 Line 235-238: 测试 (看起来重复了？不，可能是不同的测试用例)。 Line 240-243: 测试 。 实际上，看 Line 234: 。这明显是在测试 CRLF 注入（HTTP Request Smuggling/Injection）。 看 Line 243: 。 看 Line 246: Line 247: Line 248: Line 249: 这看起来是在增加对非法字符（特别是换行符）的验证测试。 3. 修复方案 (Fix): 代码变更: 在 中，移除了旧的 , , 正则定义（或者进行了修改，虽然截图里看起来是删除了旧定义，可能移到了别处或者逻辑变了，但标题说是 "Adjust header value character checks"）。 在 中，修改了 Host 头的检查逻辑，使其对大小写不敏感（ ）。 在 中，增加了针对非法请求头值（包含 ）的回归测试。 目的: 符合 RFC 9110 标准，防止请求头注入。 4. 提取 POC/利用代码: 截图中的代码主要是修复代码和测试代码，不是直接的利用代码（Exploit）。 但是，测试代码中展示了被拦截的恶意输入： 。这可以被视为一种 POC 输入，用于验证修复是否生效。 代码块提取： 以及类似的测试用例。 总结结构: 漏洞概述: aiohttp 库的请求头验证逻辑不符合 RFC 9110 标准，可能导致请求头注入或解析问题。 影响范围: aiohttp 库（具体涉及 , ）。 修复方案: 调整请求头值验证逻辑以符合 RFC 9110，增加对非法字符（如换行符）的检查，并修复 Host 头的大小写敏感问题。 代码: 提取测试代码中的恶意输入示例。 Refining the content: Commit message says: "Adjust our Python request header value validation to align with RFC 9110 request header character handling". The diff shows removal of specific regexes , , . This suggests a refactor of the validation logic. The diff in shows a fix for Host header handling: . This fixes a case-sensitivity issue. The diff in adds tests for when headers contain (CRLF injection). Final Polish: 漏洞概述: GitHub 安全公告 GHSA-766666。涉及 aiohttp 库。修复了请求头值验证逻辑，使其符合 RFC 9110 标准。 影响范围: 库的 和 文件。 修复方案: 1. 调整请求头字符验证逻辑（移除旧的正则表达式，改为符合 RFC 9110 的检查）。 2. 修复 Host 头检查的大小写敏感问题（同时检查 "Host" 和 "host"）。 3. 增加回归测试，确保包含 的非法请求头值会被抛出 。 POC/测试代码: 提取测试用例中展示的攻击载荷。 Let's write the markdown. 漏洞概述 漏洞编号: GHSA-766666 涉及组件: (Python HTTP 库) 问题描述: 该 Commit 修复了 aiohttp 库中请求头（Header）值的验证逻辑。原有的验证机制未完全符合 RFC 9110 标准关于请求头字符处理的规定。修复旨在防止潜在的请求头注入或解析错误，并调整了 Host 头的检查逻辑以支持大小写不敏感。 影响范围 文件: , , 具体逻辑: 请求头名称和值的非法字符验证（原代码使用了 , , 正则）。 测试客户端中 Host 头的存在性检查。 修复方案 1. 调整验证逻辑: 在 中移除了旧的硬编码正则表达式（ 等），改为符合 RFC 9110 标准的字符检查逻辑。 2. 修复 Host 头检查: 在 中，将 Host 头的检查从仅检查 修改为同时检查 和 ，以解决大小写敏感问题。 3. 增加回归测试**: 在 中增加了测试用例，确保当请求头值包含非法字符（如换行符 ）时，会抛出 异常。 相关代码 (POC/测试用例) 截图中的代码主要展示了修复后的验证逻辑和针对 CRLF 注入的测试用例。以下是测试代码中展示的恶意输入示例（用于验证修复是否生效）：

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

aiohttp GHSA-766666 修复请求头验证以符合RFC 9110

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

aiohttp GHSA-766666 修复请求头验证以符合RFC 9110

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！