リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4404-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2023-54397: 6.3.3 より前の Tornado には、非標準文字を受け入れる Content-Length ヘッダーの不適切な解析による、HTTP リクエストスマグリングの脆弱性があります。(bsc#1280689)で。
    - CVE-2024-58384:CurlAsyncHTTPClient ヘッダーでの CRLF インジェクション(bsc#1281059)。
    - CVE-2026-91990:「max_parts」制限の検証前にマルチパートデータを分割すると、リソース枯渇とサービス拒否(bsc#1281439)が発生する可能性があります。
    - CVE-2026-91991:クッキー属性インジェクションの修正が不完全なため、大文字のパラメーターでセミコロンで区切られたデータを通じてクッキー検証バイパスが可能となります(bsc#1281440)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLED15 / SLES15 セキュリティ更新 : python-tornado (SUSE-SU-2026:4404-1)

critical Nessus プラグイン ID 362577

バージョン 1.1