Amazon Linux 2:python-tornado(ALAS-2026-3925)
high Nessus プラグイン ID 351036
Language:
概要
リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。説明
リモートホストにインストールされている python-tornado のバージョンは、4.2.1-3 より前です。したがって、ALAS2-2026-3925 のアドバイザリに記載されている脆弱性の影響を受けます。Tornado は、Python ウェブフレームワークおよび非同期ネットワークライブラリです。6.5.8 以前の Tornado は、tornado/escape.py 内で urllib.parse.parse_qs を使用して application/x-www-form-urlencoded リクエストボディを解析する際、max_num_fields を渡していません。tornado/web.py の RequestHandler._execute は、tornado/httputil.py の HTTPServerRequest._parse_body および parse_body_arguments を介して、ハンドラーへのディスパッチ前にボディを解析します。そのため、区切り文字で区切られた数百万ものフィールドを含む、認証されていないリクエストボディが、シングルスレッドのイベントループを同期的に停止させ、すべての接続を遅延させる可能性があります。このボディサイズは max_buffer_size によってのみ制限されており、デフォルト値は 104857600 バイトです。この問題はバージョン 6.5.8 で修正されています。(CVE-2026-82397)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「yum update python-tornado」または「yum update --advisory ALAS2-2026-3925」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2/ALAS2-2026-3925.html
プラグインの詳細
深刻度: High
ID: 351036
ファイル名: al2_ALAS-2026-3925.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/9/29
更新日: 2026/9/29
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3
パーセンタイル: 23.62
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 5.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS スコアのソース: CVE-2026-82397
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:python-tornado-debuginfo, p-cpe:/a:amazon:linux:python-tornado-doc, p-cpe:/a:amazon:linux:python-tornado
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/9/28
脆弱性公開日: 2026/8/31
参照情報
CVE: CVE-2026-82397