Amazon Linux 2023python3.13-tornado (ALAS2023-2026-1528)
high Nessus Plugin ID 304609
語言:
概要
遠端 Amazon Linux 2023 主機缺少一個安全性更新。說明
因此，會受到 ALAS2023-2026-1528 公告中所提及的多個弱點影響。Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.2 及更舊版本中所提供的原因詞組未逸出用於 HTTP 標頭 (其可用於標頭插入) 或 HTML 的預設錯誤頁面 (其可用於 XSS)而且可藉由傳遞未受信任或惡意的資料拖入 reason 引數。RequestHandler.set_status 和 tornado.web.HTTPError 皆使用引數其設計目的在於允許應用程式將自訂原因詞組 (Not Found in HTTP/1.1 404 Not Found) 傳送至 HTTP 狀態行 (主要針對非標準狀態)碼)。
6.5.3 版已修正此問題。(CVE-2025-67724)
Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.2 版及更舊版本中單一惡意特製的 HTTP 要求即可長時間封鎖伺服器的事件迴圈這是由 HTTPHeaders.add 方法所造成。該函式會在重複相同標頭名稱時使用字串串連來累積值進而造成拒絕服務 (DoS)。由於 Python 字串不變性每個串連都會復制整個字串進而導致 O(n2) 時間複雜度。嚴重性可能會有所不同。如果 max_header_size 已從其預設增加則為高如果其具有其預設值 64KB 則為低。
6.5.3 版已修正此問題。(CVE-2025-67725)
Tornado 是一款 Python Web 架構與非同步網路程式庫。 6.5.2 版及之前的版本在剖析 HTTP 標頭值的參數時使用無效的演算法進而可能造成 DoS。該
httputil.py 中的 _parseparam 函式用於剖析特定的 HTTP 標頭值例如 multipart/form-data 中的值並在處理帶引號的分號時重複呼叫巢狀迴圈中的 string.count()。如果攻擊者在 Content-Disposition 標頭中傳送含有大量惡意特製參數的要求伺服器的 CPU 使用率會在剖析期間以二次方 (O(n2)) 增加。由於 Tornado 的單一事件迴圈架構單一惡意要求即可造成整個伺服器長時間沒有回應。6.5.3 版已修正此問題。(CVE-2025-67726)
Tornado 是一款 Python Web 架構與非同步網路程式庫。在 6.5.5之前的 Tornado 版本中對於 multipart/form-data 中部分數的唯一限制是 max_body_size 設定 (預設為 100MB)。由於剖析是在主執行緒上同步進行因此有可能發生因剖析具有許多部分的大型多部分主體而產生的拒絕服務情形。此弱點已在 6.5.5 中修復。(CVE-2026-31958)
Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
執行「dnf update python3.13-tornado --releasever 2023.10.20260330」或/「dnf update --advisory ALAS2023-2026-1528 --releasever 2023.10.20260330」以更新系統。另請參閱
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-1528.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2025-67724.html
https://explore.alas.aws.amazon.com/CVE-2025-67725.html
Plugin 詳細資訊
嚴重性: High
ID: 304609
檔案名稱: al2023_ALAS2023-2026-1528.nasl
版本: 1.1
類型: Local
代理程式: unix
已發布: 2026/4/1
已更新: 2026/4/1
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 4.4
CVSS v2
風險因素: Medium
基本分數: 6.4
時間性分數: 4.7
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N
CVSS 評分資料來源: CVE-2025-67724
CVSS v3
風險因素: Medium
基本分數: 6.1
時間性分數: 5.3
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
風險因素: High
Base Score: 8.7
Threat Score: 6.6
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
CVSS 評分資料來源: CVE-2026-31958
弱點資訊
CPE: p-cpe:/a:amazon:linux:python3.13-tornado-debuginfo, p-cpe:/a:amazon:linux:python3.13-tornado-doc, p-cpe:/a:amazon:linux:python3.13-tornado, p-cpe:/a:amazon:linux:python3.13-tornado-debugsource, cpe:/o:amazon:linux:2023
必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2026/4/1
弱點發布日期: 2025/12/12
參考資訊
CVE: CVE-2025-67724, CVE-2025-67725, CVE-2025-67726, CVE-2026-31958