aiohttp: Erschöpfung von Dateideskriptoren bei Multipart-Requests
Zusammenfassung
aiohttp ist ein asynchrones HTTP-Client-/Server-Framework für asyncio und Python. In den Versionen ab 2.0.0 bis vor 3.14.4 kann die Verarbeitung von Multipart-Requests eine unbegrenzte Anzahl offener Dateideskriptoren behalten. Ein nicht authentifizierter Angreifer kann mit speziell gestalteten Multipart-Requests Dateideskriptoren erschöpfen, was zu einem Denial of Service (Dienstverweigerung) führt, sofern ein Handler Request.post() verwendet.
Betroffen
- aio-libs aiohttp ab 2.0.0 bis vor 3.14.4
- Nur Server-Anwendungen, deren Handler Request.post() aufrufen, sind betroffen; die reine Client-Nutzung ist nicht betroffen
Behoben in
- aiohttp 3.14.4 oder neuer
- Fix-Commit 2d94633b7f1b4c1ba07d647b629a8440652b2d09
Umgehung
- Unbekannt. Es wurde kein herstellerseitig dokumentierter Workaround gefunden. Das Upgrade auf 3.14.4 oder neuer ist die Behebung.
Ausnutzung
- Zum Zeitpunkt der Recherche (1. Nov 2026) sind keine Ausnutzungen in freier Wildbahn und kein öffentlicher Proof of Concept bekannt.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
- EPSS-Score 0.00412 (SUSE-Eintrag).
- Katalog CISA KEV und NVD-Analyse noch nicht geprüft (NVD-Status: Undergoing Analysis).
Unsere Empfehlung
- Python-Dienste inventarisieren, die aiohttp-Serverfunktionen nutzen und Request.post() aufrufen.
- Diese Dienste auf aiohttp 3.14.4 oder neuer aktualisieren, wobei Dienste mit Internetzugang Priorität haben.
- Bis zur Behebung die Grösse von Request-Bodies auf einem Reverse Proxy begrenzen und die offenen Dateideskriptoren der betroffenen Prozesse überwachen.
- Vor dem Schliessen des Eintrags NVD und den Katalog CISA KEV prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- aiohttp release 3.14.4 github.com
- GitHub Security Advisory GHSA-9xw5-w5jj-pvcg github.com
- Fix commit 2d94633b7f1b4c1ba07d647b629a8440652b2d09 github.com
- OSV GHSA-9xw5-w5jj-pvcg osv.dev
- GitLab Advisory CVE-2026-111066 advisories.gitlab.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.