aiohttp: Denial of Service durch fehlendes Timeout vor der ersten Anfrage
Zusammenfassung
aiohttp, ein asynchrones HTTP-Client- und Server-Framework für Python, wendet das Keepalive-Timeout nicht auf den Beginn einer Anfrage an. Ein Angreifer aus dem Netzwerk kann eine inaktive Verbindung unbegrenzt offen halten, ohne Anfragedaten zu senden, und so die Verbindungskapazität des Servers belegen. Betroffen sind aiohttp-Server, die über das Netzwerk erreichbar sind; die reine Nutzung als Client ist durch dieses serverseitige Verhalten nicht betroffen.
Betroffen
- aiohttp-Versionen vor 3.14.4 (aio-libs aiohttp, gemäss CNA-Eintrag)
Behoben in
- Auf aiohttp 3.14.4 oder neuer aktualisieren.
Umgehung
- Einen Reverse Proxy mit sinnvollen Keepalive- und Verbindungslimiten vor aiohttp-Servern betreiben, wie im Herstellerhinweis empfohlen.
- Gleichzeitige Verbindungen am Proxy oder an der Firewall als Zwischenmassnahme begrenzen (Wirksamkeit nicht verifiziert).
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
Unsere Empfehlung
- Python-Dienste inventarisieren und prüfen, ob aiohttp im Servermodus läuft.
- Serverseitige aiohttp-Instanzen nach einem Test auf 3.14.4 oder neuer aktualisieren.
- Für aus dem Internet erreichbare Dienste, die nicht zeitnah aktualisiert werden können, einen Reverse Proxy mit Keepalive- und Verbindungslimiten davorschalten.
- Die Anzahl offener Verbindungen auf ungewöhnlich viele inaktive Verbindungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-5wr8-gcqf-gqf3 github.com
- Fix commit be84682 (Close idle connections) github.com
- aiohttp release 3.14.4 github.com
- OSV entry GHSA-5wr8-gcqf-gqf3 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.