Python ライブラリ Tornado < 6.5.5 複数の脆弱性

high Nessus プラグイン ID 307354

Language:

概要

リモートホストにインストールされている Python ライブラリは、複数の脆弱性の影響を受けます。

説明

リモートホストにインストールされている Tornado Python ライブラリのバージョンは、 6.5.5 より前です。そのため、以下の複数の脆弱性の影響を受けます。

- Tornado は Python の Web フレームワークであり、非同期ネットワークライブラリです。6.5.5より前のバージョンのTornadoでは、マルチパート/フォームデータのパーツ数の制限はmax_body_size設定(デフォルト100MB)のみです。解析はメインスレッドで同期的に行われるため、多くのパーツがある非常に大きなマルチパート本体の解析にコストがかかるため、サービス拒否が発生する可能性があります。この脆弱性は 6.5.5 で修正されました。(CVE-2026-31958)

- 6.5.5 より前の Tornado では、ドメイン、パス、および samesite の引数が原因でクッキー属性インジェクションが発生する可能性がありました。RequestHandler.set_cookie細工された文字に関してチェックされませんでした。(CVE-2026-35536)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。