Debian dla-4007：python-tornado-doc - 安全性更新

medium Nessus Plugin ID 213445

語言:

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 11 主機上安裝的多個套件受到 dla-4007 公告中提及的多個弱點影響。

- ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4007-1 [email protected] https://www.debian.org/lts/security/Daniel Leidert 2025 年 1 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

套件：python-tornado 版本：6.1.0-1+deb11u1 CVE ID：CVE-2023-28370 CVE-2024-52804 Debian 錯誤：1036875 1088112

Tornado 是一款可擴充、非封鎖 Python Web 架構與非同步網路程式庫。

CVE-2023-28370

Tornado 6.3.1 版和更舊版本中存在一個開放重新導向弱點，未經驗證的遠端攻擊者可藉此透過讓使用者存取特製的 URL，將使用者重新導向至任意網站並發動網路釣魚攻擊。

CVE-2024-52804

在 6.4.2 之前的 Tornado 版本中，用於剖析 HTTP cookie 的演算法有時具有二次方複雜度，進而導致剖析惡意製作的 cookie 標頭時過度消耗 CPU。此剖析發生在事件迴圈執行緒中，可能會封鎖其他請求的處理。

針對 Debian 11 bullseye，已在 6.1.0-1+deb11u1 版本中修正這些問題。

建議您升級 python-tornado 套件。

如需 python-tornado 的詳細安全性狀態，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/python-tornado

有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。