リモートホストにインストールされている python-tornado のバージョンは、4.2.1-3 より前です。したがって、ALAS2-2026-3847 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Tornado は、Python ウェブフレームワークおよび非同期ネットワークライブラリです。6.5.6より前のバージョンでは、SimpleAsyncHTTPClientはリダイレクトされたリクエストを浅くコピーし、リダイレクトによってスキーム、ホスト、ポートが変更されたときにAuthorization、auth_username、auth_password、auth_modeのみを削除していました。この問題はバージョン 6.5.6 で修正されています。(CVE-2026-49853)

    Tornado は、Python ウェブフレームワークおよび非同期ネットワークライブラリです。6.5.6 より前は、オプションのネイティブ拡張 tornado.speedups が、マスク引数がちょうど 4 バイトであることを検証せずに実装websocket_maskでした。これにより、C 関数は、ネイティブ拡張をアクティブにして Tornado XSRF トークンデコーディングを通じて到達すると、指定されたバッファを超えて最大 3 バイトを読み取ることができます。この問題はバージョン 6.5.6 で修正されています。(CVE-2026-49854)

    Tornado は、Python ウェブフレームワークおよび非同期ネットワークライブラリです。6.5.6 より前の Tornado gzip 展開ルーチンは、限られたサイズのチャンクを処理しましたが、累積された展開チャンクに全体的な制限を強制しませんでした。これにより、SimpleAsyncHTTPClient または decompress_request=True が設定された HTTPServer によってアクセスされた悪意のあるサーバーが、事実上無制限のメモリを消費する可能性があります。この問題はバージョン 6.5.6 で修正されています。(CVE-2026-49855)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2:python-tornado、 --advisory ALAS2-2026-3847 (ALAS-2026-3847)

high Nessus プラグイン ID 331981

バージョン 1.2

バージョン 1.1

バージョン 1.2 Aug 7, 2026, 7:32 AM CVSS metrics ("CVSSv2 score" set to 6.8) CVSS metrics ("CVSSv2 vector" set to "CVSS2#AV:N/AC:L/Au:S/C:C/I:N/A:N") CVSSv2 severity (based on CVE-2026-49853, severity decreased from "High" to "Medium") Plugin Feed: 202608070732
バージョン 1.1 Aug 5, 2026, 6:51 AM New Plugin Feed: 202608050651