因此，會受到 ALAS2023-2026-1528 公告中所提及的多個弱點影響。

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.2 及更舊版本中所提供的原因詞組未逸出用於 HTTP 標頭 (其可用於標頭插入) 或 HTML 的預設錯誤頁面 (其可用於 XSS)而且可藉由傳遞未受信任或惡意的資料拖入 reason 引數。RequestHandler.set_status 和 tornado.web.HTTPError 皆使用引數其設計目的在於允許應用程式將自訂原因詞組 (Not Found in HTTP/1.1 404 Not Found) 傳送至 HTTP 狀態行 (主要針對非標準狀態)碼)。
    6.5.3 版已修正此問題。(CVE-2025-67724)

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.2 版及更舊版本中單一惡意特製的 HTTP 要求即可長時間封鎖伺服器的事件迴圈這是由 HTTPHeaders.add 方法所造成。該函式會在重複相同標頭名稱時使用字串串連來累積值進而造成拒絕服務 (DoS)。由於 Python 字串不變性每個串連都會復制整個字串進而導致 O(n2) 時間複雜度。嚴重性可能會有所不同。如果 max_header_size 已從其預設增加則為高如果其具有其預設值 64KB 則為低。
    6.5.3 版已修正此問題。(CVE-2025-67725)

    Tornado 是一款 Python Web 架構與非同步網路程式庫。 6.5.2 版及之前的版本在剖析 HTTP 標頭值的參數時使用無效的演算法進而可能造成 DoS。該
    httputil.py 中的 _parseparam 函式用於剖析特定的 HTTP 標頭值例如 multipart/form-data 中的值並在處理帶引號的分號時重複呼叫巢狀迴圈中的 string.count()。如果攻擊者在 Content-Disposition 標頭中傳送含有大量惡意特製參數的要求伺服器的 CPU 使用率會在剖析期間以二次方 (O(n2)) 增加。由於 Tornado 的單一事件迴圈架構單一惡意要求即可造成整個伺服器長時間沒有回應。6.5.3 版已修正此問題。(CVE-2025-67726)

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.5之前的 Tornado 版本中對於 multipart/form-data 中部分數的唯一限制是 max_body_size 設定 (預設為 100MB)。由於剖析是在主執行緒上同步進行因此有可能發生因剖析具有許多部分的大型多部分主體而產生的拒絕服務情形。此弱點已在 6.5.5 中修復。(CVE-2026-31958)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2023python3.13-tornado (ALAS2023-2026-1528)

high Nessus Plugin ID 304609

版本 1.1