遠端 Debian 13 主機已安裝受到多個弱點影響的套件如 dsa-6195 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6195-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 4 月 3 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 python-tornado CVE ID CVE-2025-67724 CVE-2025-67725 CVE-2025-67726

    在 Tornado Python Web 架構中發現多個安全性弱點可導致拒絕服務、標頭插入或跨網站指令碼。

    針對舊的穩定發行版本 (book蠕蟲)此問題已在 6.2.0-3+deb12u4 版本中修正。

    針對穩定的發行版本 (trixie)此問題已在 6.4.2-3+deb13u2 版本中修正。

    建議您升級 python-tornado 套件。

    如需 python-tornado 的詳細安全性狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-tornado

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4461 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4461-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026 年 2 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 版本 6.1.0-1+deb11u3 CVE ID CVE-2025-67724 CVE-2025-67725 CVE-2025-67726 Debian 錯誤 1122660 1122661 1122663

    Tornado 是一款可擴充、非封鎖 Python Web 架構與非同步網路程式庫。

    CVE-2025-67724

       自訂原因詞組在 HTTP 標頭中未逸出會造成多個弱點 (例如 XSS、標頭插入...)。

    CVE-2025-67725

       單一惡意特製的 HTTP 要求可能因重複標頭行的二次方效能而造成 DoS。

    CVE-2025-67726

       剖析 HTTP 標頭值的參數時無效的演算法可能造成 DoS。

    針對 Debian 11 Bullseye這些問題已在 6.1.0-1+deb11u3 版本中修正。

    建議您升級 python-tornado 套件。

    如需 python-tornado 的詳細安全性狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-tornado

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 python3-tornado 版本低於 5.0.2-4。因此，會受到 ALAS2-2025-3109 公告中所提及的多個弱點影響。

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.2 及更舊版本中所提供的原因詞組未逸出用於 HTTP 標頭 (其可用於標頭插入) 或 HTML 的預設錯誤頁面 (其可用於 XSS)而且可藉由傳遞未受信任或惡意的資料拖入 reason 引數。RequestHandler.set_status 和 tornado.web.HTTPError 皆使用引數其設計目的在於允許應用程式將自訂原因詞組 (Not Found in HTTP/1.1 404 Not Found) 傳送至 HTTP 狀態行 (主要針對非標準狀態)碼)。
    6.5.3 版已修正此問題。(CVE-2025-67724)

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.2 版及更舊版本中單一惡意特製的 HTTP 要求即可長時間封鎖伺服器的事件迴圈這是由 HTTPHeaders.add 方法所造成。該函式會在重複相同標頭名稱時使用字串串連來累積值進而造成拒絕服務 (DoS)。由於 Python 字串不變性每個串連都會復制整個字串進而導致 O(n2) 時間複雜度。嚴重性可能會有所不同。如果 max_header_size 已從其預設增加則為高如果其具有其預設值 64KB 則為低。
    6.5.3 版已修正此問題。(CVE-2025-67725)

    Tornado 是一款 Python Web 架構與非同步網路程式庫。 6.5.2 版及之前的版本在剖析 HTTP 標頭值的參數時使用無效的演算法進而可能造成 DoS。該
    httputil.py 中的 _parseparam 函式用於剖析特定的 HTTP 標頭值例如 multipart/form-data 中的值並在處理帶引號的分號時重複呼叫巢狀迴圈中的 string.count()。如果攻擊者在 Content-Disposition 標頭中傳送含有大量惡意特製參數的要求伺服器的 CPU 使用率會在剖析期間以二次方 (O(n2)) 增加。由於 Tornado 的單一事件迴圈架構單一惡意要求即可造成整個伺服器長時間沒有回應。6.5.3 版已修正此問題。(CVE-2025-67726)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.04 / 25.10 主機上安裝的多個套件受到 USN-7950-1 公告中提及的多個弱點影響。

    據發現Tornado 未正確處理 HTTP 標頭中的特殊字元。攻擊者可能利用此問題發動跨網站指令碼 (XSS) 攻擊。此問題只影響 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 25.04 和 Ubuntu 25.10。(CVE-2025-67724)

    據發現Tornado 未正確處理重複的 HTTP 標頭。攻擊者可能利用此問題造成 Tornado 使用過量資源進而造成拒絕服務。 (CVE-2025-67725)

    據發現Tornado 未正確處理某些 HTTP 標頭值的剖析。攻擊者可能利用此問題造成 Tornado 使用過量資源進而造成拒絕服務。
    (CVE-2025-67726)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Tornado 是 Python Web 架構與非同步網路程式庫。在 6.5.2 及更舊版本中所提供的原因詞組未逸出用於 HTTP 標頭 (其可用於標頭插入) 或 HTML 的預設錯誤頁面 (其可用於 XSS)而且可藉由傳遞未受信任或惡意的資料拖入 reason 引數。RequestHandler.set_status 和 tornado.web.HTTPError 皆使用引數其設計目的在於允許應用程式將自訂原因詞組 (Not Found in HTTP/1.1 404 Not Found) 傳遞至 HTTP 狀態行 (主要是針對非標準狀態)碼)。
    6.5.3 版已修正此問題。(CVE-2025-67724)

請注意，Nessus 依賴供應商報告的套件存在。

遠端主機上安裝的 python-tornado 版本低於 4.2.1-3。因此，會受到 ALAS2-2025-3106 公告中所提及的多個弱點影響。

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.2 及更舊版本中所提供的原因詞組未逸出用於 HTTP 標頭 (其可用於標頭插入) 或 HTML 的預設錯誤頁面 (其可用於 XSS)而且可藉由傳遞未受信任或惡意的資料拖入 reason 引數。RequestHandler.set_status 和 tornado.web.HTTPError 皆使用引數其設計目的在於允許應用程式將自訂原因詞組 (Not Found in HTTP/1.1 404 Not Found) 傳送至 HTTP 狀態行 (主要針對非標準狀態)碼)。
    6.5.3 版已修正此問題。(CVE-2025-67724)

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.2 版及更舊版本中單一惡意特製的 HTTP 要求即可長時間封鎖伺服器的事件迴圈這是由 HTTPHeaders.add 方法所造成。該函式會在重複相同標頭名稱時使用字串串連來累積值進而造成拒絕服務 (DoS)。由於 Python 字串不變性每個串連都會復制整個字串進而導致 O(n2) 時間複雜度。嚴重性可能會有所不同。如果 max_header_size 已從其預設增加則為高如果其具有其預設值 64KB 則為低。
    6.5.3 版已修正此問題。(CVE-2025-67725)

    Tornado 是一款 Python Web 架構與非同步網路程式庫。 6.5.2 版及之前的版本在剖析 HTTP 標頭值的參數時使用無效的演算法進而可能造成 DoS。該
    httputil.py 中的 _parseparam 函式用於剖析特定的 HTTP 標頭值例如 multipart/form-data 中的值並在處理帶引號的分號時重複呼叫巢狀迴圈中的 string.count()。如果攻擊者在 Content-Disposition 標頭中傳送含有大量惡意特製參數的要求伺服器的 CPU 使用率會在剖析期間以二次方 (O(n2)) 增加。由於 Tornado 的單一事件迴圈架構單一惡意要求即可造成整個伺服器長時間沒有回應。6.5.3 版已修正此問題。(CVE-2025-67726)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2026-1528 公告中所提及的多個弱點影響。

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.2 及更舊版本中所提供的原因詞組未逸出用於 HTTP 標頭 (其可用於標頭插入) 或 HTML 的預設錯誤頁面 (其可用於 XSS)而且可藉由傳遞未受信任或惡意的資料拖入 reason 引數。RequestHandler.set_status 和 tornado.web.HTTPError 皆使用引數其設計目的在於允許應用程式將自訂原因詞組 (Not Found in HTTP/1.1 404 Not Found) 傳送至 HTTP 狀態行 (主要針對非標準狀態)碼)。
    6.5.3 版已修正此問題。(CVE-2025-67724)

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.2 版及更舊版本中單一惡意特製的 HTTP 要求即可長時間封鎖伺服器的事件迴圈這是由 HTTPHeaders.add 方法所造成。該函式會在重複相同標頭名稱時使用字串串連來累積值進而造成拒絕服務 (DoS)。由於 Python 字串不變性每個串連都會復制整個字串進而導致 O(n2) 時間複雜度。嚴重性可能會有所不同。如果 max_header_size 已從其預設增加則為高如果其具有其預設值 64KB 則為低。
    6.5.3 版已修正此問題。(CVE-2025-67725)

    Tornado 是一款 Python Web 架構與非同步網路程式庫。 6.5.2 版及之前的版本在剖析 HTTP 標頭值的參數時使用無效的演算法進而可能造成 DoS。該
    httputil.py 中的 _parseparam 函式用於剖析特定的 HTTP 標頭值例如 multipart/form-data 中的值並在處理帶引號的分號時重複呼叫巢狀迴圈中的 string.count()。如果攻擊者在 Content-Disposition 標頭中傳送含有大量惡意特製參數的要求伺服器的 CPU 使用率會在剖析期間以二次方 (O(n2)) 增加。由於 Tornado 的單一事件迴圈架構單一惡意要求即可造成整個伺服器長時間沒有回應。6.5.3 版已修正此問題。(CVE-2025-67726)

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.5之前的 Tornado 版本中對於 multipart/form-data 中部分數的唯一限制是 max_body_size 設定 (預設為 100MB)。由於剖析是在主執行緒上同步進行因此有可能發生因剖析具有許多部分的大型多部分主體而產生的拒絕服務情形。此弱點已在 6.5.5 中修復。(CVE-2026-31958)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2025-1338 公告中所提及的多個弱點影響。

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.2 及更舊版本中所提供的原因詞組未逸出用於 HTTP 標頭 (其可用於標頭插入) 或 HTML 的預設錯誤頁面 (其可用於 XSS)而且可藉由傳遞未受信任或惡意的資料拖入 reason 引數。RequestHandler.set_status 和 tornado.web.HTTPError 皆使用引數其設計目的在於允許應用程式將自訂原因詞組 (Not Found in HTTP/1.1 404 Not Found) 傳送至 HTTP 狀態行 (主要針對非標準狀態)碼)。
    6.5.3 版已修正此問題。(CVE-2025-67724)

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.2 版及更舊版本中單一惡意特製的 HTTP 要求即可長時間封鎖伺服器的事件迴圈這是由 HTTPHeaders.add 方法所造成。該函式會在重複相同標頭名稱時使用字串串連來累積值進而造成拒絕服務 (DoS)。由於 Python 字串不變性每個串連都會復制整個字串進而導致 O(n2) 時間複雜度。嚴重性可能會有所不同。如果 max_header_size 已從其預設增加則為高如果其具有其預設值 64KB 則為低。
    6.5.3 版已修正此問題。(CVE-2025-67725)

    Tornado 是一款 Python Web 架構與非同步網路程式庫。 6.5.2 版及之前的版本在剖析 HTTP 標頭值的參數時使用無效的演算法進而可能造成 DoS。該
    httputil.py 中的 _parseparam 函式用於剖析特定的 HTTP 標頭值例如 multipart/form-data 中的值並在處理帶引號的分號時重複呼叫巢狀迴圈中的 string.count()。如果攻擊者在 Content-Disposition 標頭中傳送含有大量惡意特製參數的要求伺服器的 CPU 使用率會在剖析期間以二次方 (O(n2)) 增加。由於 Tornado 的單一事件迴圈架構單一惡意要求即可造成整個伺服器長時間沒有回應。6.5.3 版已修正此問題。(CVE-2025-67726)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
305004	Debian dsa-6195python-tornado-doc - 安全性更新	Nessus	Debian Local Security Checks	2026/4/5	2026/4/6	medium
297501	Debian dla-4461python-tornado-doc - 安全性更新	Nessus	Debian Local Security Checks	2026/2/1	2026/2/1	medium
281825	Amazon Linux 2python3-tornado --advisory ALAS2-2025-3109 (ALAS-2025-3109)	Nessus	Amazon Linux Local Security Checks	2026/1/5	2026/4/30	medium
282532	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / [ 22.04 LTS / 24.04 LTS / 25.04 / 25.10 Tornado 弱點 (USN-7950-1)	Nessus	Ubuntu Local Security Checks	2026/1/9	2026/4/30	medium
278567	Linux Distros 未修補的弱點：CVE-2025-67724	Nessus	Misc.	2025/12/12	2026/4/5	medium
281816	Amazon Linux 2python-tornado --advisory ALAS2-2025-3106 (ALAS-2025-3106)	Nessus	Amazon Linux Local Security Checks	2026/1/5	2026/4/30	medium
304609	Amazon Linux 2023python3.13-tornado (ALAS2023-2026-1528)	Nessus	Amazon Linux Local Security Checks	2026/4/1	2026/4/1	high
282407	Amazon Linux 2023 : python3-tornado (ALAS2023-2025-1338)	Nessus	Amazon Linux Local Security Checks	2026/1/8	2026/4/30	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

high

medium