遠端主機上安裝的 python-tornado 版本低於 4.2.1-3。因此，會受到 ALAS2-2025-3106 公告中所提及的多個弱點影響。

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.2 及更舊版本中所提供的原因詞組未逸出用於 HTTP 標頭 (其可用於標頭插入) 或 HTML 的預設錯誤頁面 (其可用於 XSS)而且可藉由傳遞未受信任或惡意的資料拖入 reason 引數。RequestHandler.set_status 和 tornado.web.HTTPError 皆使用引數其設計目的在於允許應用程式將自訂原因詞組 (Not Found in HTTP/1.1 404 Not Found) 傳送至 HTTP 狀態行 (主要針對非標準狀態)碼)。
    6.5.3 版已修正此問題。(CVE-2025-67724)

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.2 版及更舊版本中單一惡意特製的 HTTP 要求即可長時間封鎖伺服器的事件迴圈這是由 HTTPHeaders.add 方法所造成。該函式會在重複相同標頭名稱時使用字串串連來累積值進而造成拒絕服務 (DoS)。由於 Python 字串不變性每個串連都會復制整個字串進而導致 O(n2) 時間複雜度。嚴重性可能會有所不同。如果 max_header_size 已從其預設增加則為高如果其具有其預設值 64KB 則為低。
    6.5.3 版已修正此問題。(CVE-2025-67725)

    Tornado 是一款 Python Web 架構與非同步網路程式庫。 6.5.2 版及之前的版本在剖析 HTTP 標頭值的參數時使用無效的演算法進而可能造成 DoS。該
    httputil.py 中的 _parseparam 函式用於剖析特定的 HTTP 標頭值例如 multipart/form-data 中的值並在處理帶引號的分號時重複呼叫巢狀迴圈中的 string.count()。如果攻擊者在 Content-Disposition 標頭中傳送含有大量惡意特製參數的要求伺服器的 CPU 使用率會在剖析期間以二次方 (O(n2)) 增加。由於 Tornado 的單一事件迴圈架構單一惡意要求即可造成整個伺服器長時間沒有回應。6.5.3 版已修正此問題。(CVE-2025-67726)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2python-tornado --advisory ALAS2-2025-3106 (ALAS-2025-3106)

medium Nessus Plugin ID 281816

版本 1.3