CVE-2026-116578

Tornado przed wersją 6.5.9 nie ogranicza liczby pól ciągu zapytania w HTTPServerRequest.__init__, co umożliwia zdalnym atakującym spowodowanie zablokowania pętli zdarzeń poprzez wysyłanie żądań z tysiącami parametrów zapytania. Atakujący mogą wysyłać nieuwierzytelnione żądania GET z nieograniczoną liczbą pól ciągu zapytania, aby pogorszyć czasy odpowiedzi dla wszystkich klientów korzystających z tego samego IOLoop.

Tornado, framework webowy i biblioteka asynchroniczna dla Pythona, w wersjach przed 6.6 akceptuje przestarzałe składanie nagłówków HTTP (obsolete line folding) i wielokrotnie łączy krótkie linie kontynuacji, co powoduje kwadratowe zużycie CPU na wątku IOLoop. Nieuwierzytelniony klient może przesłać blok nagłówków z wieloma kontynuacjami przed uruchomieniem kodu aplikacji, blokując inne połączenia obsługiwane przez proces. Koszt rośnie wraz z max_header_size, a wpływ dotyczy wyłącznie dostępności.

W bibliotece Tornado przed wersją 6.6.0 dekodowanie kodowania chunked HTTP/1.1 przetwarza dane bez oddawania sterowania pętli zdarzeń. Zdalny nieuwierzytelniony atakujący może wysłać miliony jednobajtowych fragmentów, aby zmonopolizować pętlę zdarzeń i zablokować wszystkie inne połączenia obsługiwane przez proces. Problem dotyczy także SimpleAsyncHTTPClient przy odczycie odpowiedzi od złośliwego serwera.

Tornado przed wersją 6.5.9 zawiera podatność na traversal ścieżek w StaticFileHandler, która podąża za dowiązaniami symbolicznymi wewnątrz katalogu statycznego bez potwierdzenia, że rozwiązany cel pozostaje w jego obrębie. Gdy wewnątrz katalogu statycznego istnieje dowiązanie symboliczne wskazujące poza katalog statyczny, nieuwierzytelnieni atakujący mogą je wykorzystać do odczytu plików takich jak pliki konfiguracyjne, klucze prywatne i sekrety aplikacji dostępne dla procesu użytkownika.

Tornado w wersjach przed 6.5.9 zawiera podatność na nieograniczone gromadzenie pamięci w CurlAsyncHTTPClient, która pozwala zdalnym atakującym wywołać odmowę usługi poprzez wysłanie skompresowanej odpowiedzi. Atakujący mogą wysłać bombę dekompresyjną zakodowaną w gzip, która gromadzi się w pamięci bez limitów rozmiaru, powodując zabicie procesu aplikacji przez warunki braku pamięci.

Tornado w wersjach przed 6.5.7 zawiera podatność polegającą na wycieku poświadczeń w CurlAsyncHTTPClient, gdzie uchwyty pycurl są ponownie używane między żądaniami bez prawidłowego czyszczenia stanu. Atakujący mogą uzyskać poufne poświadczenia, wysyłając żądania przez tę samą instancję klienta, co pozwala na utrzymanie certyfikatów TLS lub uwierzytelniania proxy między niepowiązanymi żądaniami.

Tornado w wersjach przed 6.5.8 zawiera niekompletną poprawkę na wstrzykiwanie atrybutów cookie, która pozwala atakującym wstrzykiwać dowolne atrybuty cookie poprzez przekazywanie pisanych wielką literą lub przestarzałych argumentów słów kluczowych do set_cookie. Atakujący mogą osadzać dane rozdzielane średnikami w parametrach pisanych wielką literą, takich jak Domain, Path lub SameSite, aby obejść walidację i zmodyfikować atrybuty bezpieczeństwa cookie.

Tornado przed wersją 6.5.8 zawiera podatność na amplifikację pamięci w funkcji parse_multipart_form_data, która dzieli dane multipart przed walidacją limitu max_parts. Atakujący mogą wysyłać spreparowane żądania multipart z wieloma częściami, tworząc duże tymczasowe listy, co wyczerpuje pamięć serwera i powoduje denial of service.

W bibliotece Tornado przed wersją 6.4.1 występuje podatność na wstrzyknięcie CRLF w klasie CurlAsyncHTTPClient, która nie odrzuca znaków powrotu karetki i przesunięcia wiersza w nagłówkach żądań. Atakujący może wstrzyknąć sekwencje CRLF do wartości nagłówków, aby wstrzyknąć dowolne nagłówki lub skonstruować całkowicie nowe żądania HTTP.

Tornado przed wersją 6.4.1 ignoruje zduplikowane nagłówki Transfer-Encoding: chunked, traktując żądania jako niemające treści i parsując treść chunked jako kolejne żądanie. Atakujący mogą wykorzystać tę niespójność, gdy Tornado działa za proxy, do przeprowadzenia przemytu żądań HTTP.