Podatności Tornado

Tornado przed wersją 6.5.9 nie ogranicza liczby pól ciągu zapytania w HTTPServerRequest.__init__, co umożliwia zdalnym atakującym spowodowanie zablokowania pętli zdarzeń poprzez wysyłanie żądań z tysiącami parametrów zapytania. Atakujący mogą wysyłać nieuwierzytelnione żądania GET z nieograniczoną liczbą pól ciągu zapytania, aby pogorszyć czasy odpowiedzi dla wszystkich klientów korzystających z tego samego IOLoop.

Tornado to framework webowy i biblioteka asynchroniczna dla Pythona. Przed wersją 6.6 szablony URL w tornado.web.RedirectHandler mogą umieszczać podstawienia przechwycone przez wyrażenia regularne w miejscach, gdzie spreparowane ścieżki żądań zmieniają schemat przekierowania lub lokalizację sieciową. Może to prowadzić do otwartego przekierowania na domenie aplikacji, wykorzystywanego w atakach phishingowych.

Tornado, framework webowy i biblioteka asynchroniczna dla Pythona, w wersjach przed 6.6 akceptuje przestarzałe składanie nagłówków HTTP (obsolete line folding) i wielokrotnie łączy krótkie linie kontynuacji, co powoduje kwadratowe zużycie CPU na wątku IOLoop. Nieuwierzytelniony klient może przesłać blok nagłówków z wieloma kontynuacjami przed uruchomieniem kodu aplikacji, blokując inne połączenia obsługiwane przez proces. Koszt rośnie wraz z max_header_size, a wpływ dotyczy wyłącznie dostępności.

W bibliotece Tornado przed wersją 6.6.0 dekodowanie kodowania chunked HTTP/1.1 przetwarza dane bez oddawania sterowania pętli zdarzeń. Zdalny nieuwierzytelniony atakujący może wysłać miliony jednobajtowych fragmentów, aby zmonopolizować pętlę zdarzeń i zablokować wszystkie inne połączenia obsługiwane przez proces. Problem dotyczy także SimpleAsyncHTTPClient przy odczycie odpowiedzi od złośliwego serwera.

Tornado przed wersją 6.5.9 zawiera podatność na traversal ścieżek w StaticFileHandler, która podąża za dowiązaniami symbolicznymi wewnątrz katalogu statycznego bez potwierdzenia, że rozwiązany cel pozostaje w jego obrębie. Gdy wewnątrz katalogu statycznego istnieje dowiązanie symboliczne wskazujące poza katalog statyczny, nieuwierzytelnieni atakujący mogą je wykorzystać do odczytu plików takich jak pliki konfiguracyjne, klucze prywatne i sekrety aplikacji dostępne dla procesu użytkownika.

Tornado w wersjach przed 6.5.9 zawiera podatność na nieograniczone gromadzenie pamięci w CurlAsyncHTTPClient, która pozwala zdalnym atakującym wywołać odmowę usługi poprzez wysłanie skompresowanej odpowiedzi. Atakujący mogą wysłać bombę dekompresyjną zakodowaną w gzip, która gromadzi się w pamięci bez limitów rozmiaru, powodując zabicie procesu aplikacji przez warunki braku pamięci.

Tornado w wersjach przed 6.5.7 zawiera podatność polegającą na wycieku poświadczeń w CurlAsyncHTTPClient, gdzie uchwyty pycurl są ponownie używane między żądaniami bez prawidłowego czyszczenia stanu. Atakujący mogą uzyskać poufne poświadczenia, wysyłając żądania przez tę samą instancję klienta, co pozwala na utrzymanie certyfikatów TLS lub uwierzytelniania proxy między niepowiązanymi żądaniami.

Tornado w wersjach przed 6.5.8 zawiera niekompletną poprawkę na wstrzykiwanie atrybutów cookie, która pozwala atakującym wstrzykiwać dowolne atrybuty cookie poprzez przekazywanie pisanych wielką literą lub przestarzałych argumentów słów kluczowych do set_cookie. Atakujący mogą osadzać dane rozdzielane średnikami w parametrach pisanych wielką literą, takich jak Domain, Path lub SameSite, aby obejść walidację i zmodyfikować atrybuty bezpieczeństwa cookie.

Tornado przed wersją 6.5.8 zawiera podatność na amplifikację pamięci w funkcji parse_multipart_form_data, która dzieli dane multipart przed walidacją limitu max_parts. Atakujący mogą wysyłać spreparowane żądania multipart z wieloma częściami, tworząc duże tymczasowe listy, co wyczerpuje pamięć serwera i powoduje denial of service.

W bibliotece Tornado przed wersją 6.4.1 występuje podatność na wstrzyknięcie CRLF w klasie CurlAsyncHTTPClient, która nie odrzuca znaków powrotu karetki i przesunięcia wiersza w nagłówkach żądań. Atakujący może wstrzyknąć sekwencje CRLF do wartości nagłówków, aby wstrzyknąć dowolne nagłówki lub skonstruować całkowicie nowe żądania HTTP.

Tornado przed wersją 6.4.1 ignoruje zduplikowane nagłówki Transfer-Encoding: chunked, traktując żądania jako niemające treści i parsując treść chunked jako kolejne żądanie. Atakujący mogą wykorzystać tę niespójność, gdy Tornado działa za proxy, do przeprowadzenia przemytu żądań HTTP.

Tornado przed wersją 6.3.3 zawiera podatność na przemyt żądań HTTP wynikającą z nieprawidłowego parsowania nagłówków Content-Length akceptującego niestandardowe znaki. Atakujący mogą wysyłać spreparowane żądania HTTP z tymi znakami, aby obejść walidację proxy i przemycić żądania, gdy aplikacja działa za niektórymi proxy.

Tornado przed wersją 6.5.8 nie ogranicza liczby pól podczas parsowania danych formularza typu application/x-www-form-urlencoded. Niezautoryzowane żądanie z milionami pól może zablokować jednowątkową pętlę zdarzeń i opóźnić wszystkie połączenia.

Podatność w Tornado przed wersją 6.5.6 pozwala na nieograniczone dekompresowanie danych gzip, co może prowadzić do wyczerpania pamięci przez złośliwy serwer lub klienta SimpleAsyncHTTPClient.

W Tornado przed wersją 6.5.6, opcjonalne natywne rozszerzenie tornado.speedups implementowało funkcję websocket_mask bez walidacji, czy argument mask ma dokładnie cztery bajty. Pozwala to funkcji C na odczytanie do trzech bajtów poza dostarczonym buforem podczas dekodowania tokena XSRF, gdy natywne rozszerzenie jest aktywne.

W Tornado przed wersją 6.5.6, SimpleAsyncHTTPClient podczas przekierowań HTTP wykonywał płytką kopię żądania i usuwał jedynie nagłówek Host, pozostawiając nagłówki autoryzacyjne (Authorization, auth_username, auth_password, auth_mode) w przypadku zmiany schematu, hosta lub portu. Luka została naprawiona w wersji 6.5.6.

W Tornado przed wersją 6.5.5, możliwe było wstrzyknięcie atrybutów ciasteczka, ponieważ argumenty domain, path i samesite w metodzie .RequestHandler.set_cookie nie były sprawdzane pod kątem spreparowanych znaków.

W Tornado w wersjach 6.5.2 i starszych występuje nieefektywny algorytm podczas parsowania parametrów wartości nagłówków HTTP, co może powodować atak DoS. Funkcja _parseparam w httputil.py jest używana do parsowania określonych wartości nagłówków, takich jak w multipart/form-data, i wielokrotnie wywołuje string.count() w zagnieżdżonej pętli podczas przetwarzania cudzysłowów i średników. Jeśli atakujący wyśle żądanie z dużą liczbą złośliwie spreparowanych parametrów w nagłówku Content-Disposition, użycie CPU serwera wzrasta kwadratowo (O(n²)), co może spowodować, że serwer stanie się nieosiągalny. Problem został naprawiony w wersji 6.5.3.

W Tornado w wersjach 6.5.2 i starszych pojedyncze złośliwe żądanie HTTP może zablokować pętlę zdarzeń serwera na dłuższy czas z powodu metody HTTPHeaders.add. Funkcja gromadzi wartości poprzez konkatenację ciągów, gdy ta sama nazwa nagłówka jest powtarzana, powodując atak typu Denial of Service (DoS) o złożoności O(n²). Problem został naprawiony w wersji 6.5.3.

Tornado, framework webowy Pythona, w wersjach 6.5.2 i niższych nie zabezpiecza frazy reason w nagłówkach HTTP (co może prowadzić do wstrzykiwania nagłówków) lub w HTML na domyślnej stronie błędu (co może prowadzić do XSS). Podatność może być wykorzystana przez przekazanie niezaufanych danych do argumentu reason. Problem został naprawiony w wersji 6.5.3.