Amazon Linux 2 ： python-tornado （ALAS-2026-3925）

high Nessus Plugin ID 351036

語言:

概要

遠端 Amazon Linux 2 主機缺少安全性更新。

說明

遠端主機上安裝的 python-tornado 版本低於 4.2.1-3。因此，此版本會受到 ALAS2-2026-3925 公告中提及的一個弱點影響。

Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.8 之前的版本中，Tornado 會在 tornado/escape.py 中剖析具有 urllib.parse.parse_qs 的 application/x-www-form-urlencoded 請求主體，而不會傳遞 max_num_fields。tornado/web.py 中的 RequestHandler._execute 會透過 tornado/httputil.py 中的 HTTPServerRequest._parse_body 和 parse_body_arguments 剖析處理常式分派前的主體，因此可能包含有數百萬個分隔符號分隔欄位，同時未經驗證的請求主體可以同步停止單執行緒事件迴圈並且延遲每個連線。主體僅以 max_buffer_size 為界，預設為 104857600 位元組。6.5.8 版已修正此問題。(CVE-2026-82397)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

執行 'yum update python-tornado' 或 'yum update --advisory ALAS2-2026-3925' 來更新您的系統。

另請參閱

https://alas.aws.amazon.com//AL2/ALAS2-2026-3925.html

https://alas.aws.amazon.com/faqs.html

https://explore.alas.aws.amazon.com/CVE-2026-82397.html

Plugin 詳細資訊

嚴重性: High

ID: 351036

檔案名稱: al2_ALAS-2026-3925.nasl

版本: 1.1

類型: Local

代理程式: unix

系列: Amazon Linux Local Security Checks

已發布: 2026/9/29

已更新: 2026/9/29

支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus

風險資訊

VPR

風險因素: Low

分數: 3

百分位數: 23.62

CVSS v2

風險因素: High

基本分數: 7.8

時間性分數: 5.8

媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C

CVSS 評分資料來源: CVE-2026-82397

CVSS v3

風險因素: High

基本分數: 7.5

時間性分數: 6.5

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

時間媒介: CVSS:3.0/E:U/RL:O/RC:C

弱點資訊

CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:python-tornado-debuginfo, p-cpe:/a:amazon:linux:python-tornado-doc, p-cpe:/a:amazon:linux:python-tornado

必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2026/9/28

弱點發布日期: 2026/8/31

參考資訊

CVE: CVE-2026-82397