安全性修正

現在，每個要求上的 XSRF token 皆以隨機遮罩來編碼。如此即可安全地包含在壓縮頁面中，而不容易受到 BREACH 攻擊影響。這適用於大多數使用 xsrf_cookies 和 gzip 選項 (或透過 Proxy 套用 gzip) 的應用程式。

回溯相容性注意事項

如果相同網域上有 Tornado 3.2.2 和較舊版本同時執行，則使用不同 cookie 版本可能會出現一些問題。轉換期間可使用應用程式設定 xsrf_cookie_version=1，以便在較新的伺服器上產生較舊的 Cookie 格式。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，python-tornado (這是一個 Python web 架構和非同步網路程式庫) 容易受到 BREACH 攻擊。現在，每個要求上的 XSRF token 皆以隨機遮罩來編碼。如此即可安全地包含在壓縮頁面中，而不容易受到攻擊。

針對 Debian 7「Wheezy」，這些問題已在 2.3-2+deb7u1 版本中修正。

建議您升級 python-tornado 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 3.2.2 之前的 Tornado 會傳送含有固定 CSRF token 且可能使用 HTTP 壓縮傳送的任意回應，這會讓遠端攻擊者更容易透過一系列特製要求發動 BREACH 攻擊並判斷此 token。 (CVE-2014-9720)

請注意，Nessus 依賴供應商報告的套件存在。

python-tornado 已更新，可修正一個安全性問題。

下列弱點已修正：

- CVE-2014-9720：XSRF Cookie 允許對 TLS 發動側通道攻擊 (BREACH)

python-tornado 模組已更新至 4.2.1 版，帶來了數個修正、增強功能和新功能。

下列安全性問題已修正：

- StaticFileHandler 中的一個路徑遊走弱點，在此情況下，可以存取名稱以 static_path 目錄開頭，但實際並不在該目錄中的檔案。

- 現在，每個要求上的 XSRF token 皆以隨機遮罩來編碼。如此即可安全地包含在壓縮頁面中，而不容易受到 BREACH 攻擊影響。
 這適用於大多數使用 xsrf_cookies 和 gzip 選項 (或透過 Proxy 套用 gzip) 的應用程式。(bsc#930362、CVE-2014-9720)

- RequestHandler.{g,s}et_secure_cookie 所用有正負號的值格式變得更加安全。(bsc#930361)

已實作下列增強功能：

- 現在，SSLIOStream.connect 和 IOStream.start_tls 預設會驗證憑證。

- 憑證驗證現在將使用系統 CA root 憑證。

- 預設 SSL 組態已變得更加嚴格，在用戶端提供時使用 ssl.create_default_context ()。

- 已移除 tornado.auth 模組中過時的類別 GoogleMixin、FacebookMixin 和 FriendFeedMixin。

- 已新增模組：tornado.locks 和 tornado.queues。

- tornado.websocket 模組現在可透過「permessage-deflate」延伸模組支援壓縮。

- 當在 Python 2 上執行時，Tornado 現在取決於 backports.ssl_match_hostname。

如需完整的變更清單，請參閱版本資訊：

- http://www.tornadoweb.org/en/stable/releases/v4.2.0.html

- http://www.tornadoweb.org/en/stable/releases/v4.1.0.html

- http://www.tornadoweb.org/en/stable/releases/v4.0.0.html

- http://www.tornadoweb.org/en/stable/releases/v3.2.0.html

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在可擴充 Python 的非鎖定 web 伺服器 python-tornado 中發現一個弱點。

CVE-2014-9720

CSRF cookie 允許對 TLS 發動側通道攻擊 (BREACH)

安全性修正

現在，每個要求上的 XSRF token 皆以隨機遮罩來編碼。如此即可安全地包含在壓縮頁面中，而不容易受到 BREACH 攻擊影響。針對舊的穩定發行版本 (squeeze)，此問題已在 1.0.1-1+deb6u1 版中修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
84066	Fedora 22 : python-tornado-3.2.2-1.fc22 (2015-9143)	Nessus	Fedora Local Security Checks	2015/6/10	2021/1/11	medium
91137	Debian DLA-475-1：python-tornado 安全性更新	Nessus	Debian Local Security Checks	2016/5/16	2021/1/11	medium
218614	Linux Distros 未修補弱點：CVE-2014-9720	Nessus	Misc.	2025/3/4	2025/9/3	medium
86890	openSUSE 安全性更新：python-tornado (openSUSE-2015-741)	Nessus	SuSE Local Security Checks	2015/11/17	2021/1/19	medium
90883	SUSE SLED12 安全性更新：python-tornado (SUSE-SU-2016:1195-1)	Nessus	SuSE Local Security Checks	2016/5/4	2021/1/6	medium
84096	Fedora 21 : python-tornado-3.2.2-1.fc21 (2015-8606)	Nessus	Fedora Local Security Checks	2015/6/11	2021/1/11	medium
84932	Debian DLA-279-1：python-tornado 安全性更新	Nessus	Debian Local Security Checks	2015/7/23	2021/1/11	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium