Debian DLA-279-1：python-tornado セキュリティ更新

medium Nessus プラグイン ID 84932

Language:

概要

リモートの Debian ホストにセキュリティ更新がありません。

説明

Python の拡張である、ノンブロッキング Web サーバーである python-tornado で、脆弱性が発見されました。

CVE-2014-9720

CSRF クッキーは、TLS に対するサイドチャネル攻撃を可能にします（BREACH）

セキュリティ修正

XSRF トークンが、各リクエストにおいてランダムなマスクでエンコードされるようになりました。これにより、 BREACH 攻撃に対して脆弱性になることなく、圧縮ページに含めることが安全になります。旧安定版（oldstable）ディストリビューション（squeeze）では、この問題はバージョン 1.0.1-1+deb6u1 で修正されています。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。