Python Web フレームワークであり、非同期のネットワークライブラリである python-tornado が、BREACH 攻撃の影響を受けやすいことが判明しました。XSRF トークンが、各リクエストにおいてランダムなマスクでエンコードされるようになりました。これにより、脆弱になることなく、圧縮ページに含めることが安全になります。

Debian 7「Wheezy」では、これらの問題はバージョン 2.3-2+deb7u1 で修正されました。

python-tornado パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

セキュリティ修正

XSRF トークンが、各リクエストにおいてランダムなマスクでエンコードされるようになりました。これにより、 BREACH 攻撃に対して脆弱性になることなく、圧縮ページに含めることが安全になります。これは、xsrf_cookies および gzip オプション（またはプロキシによって適用された gzip）の両方を使用する、多くのアプリケーションに適用します。

後方互換性の注意

Tornado 3.2.2 が同じドメイン上で旧バージョンと同時に実行される場合、クッキーのバージョン違いによる問題が発生することがあります。xsrf_cookie_version=1 を設定するアプリケーションは、より新しいサーバー上で、より古いクッキーを生成するための移行期間に使用されます。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.2.2 より前の Tornado は、修正された CSRF トークンを含み、HTTP 圧縮して送信される可能性がある任意の応答を送信します。これにより、リモートの攻撃者が BREACH 攻撃を容易に実行し、細工された一連のリクエストを通じてこのトークンを特定することが容易になります。 （CVE-2014-9720）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

1 つのセキュリティ問題を修正して、Python-tornado は更新されました。

次の脆弱性が修正されました：

- CVE-2014-9720：XSRF クッキーは、TLS に対するサイドチャネル攻撃を可能にします（BREACH）。

python-tornado モジュールが、いくつかの修正、拡張機能、および新機能を提供するバージョン 4.2.1 に更新されました。

以下のセキュリティ問題が修正されました：

- StaticFileHandler にパストラバーサルの脆弱性があるため、名前が static_path ディレクトリで始まるが実際にはそのディレクトリに存在しないファイルがアクセスされる可能性がありました。

- XSRF トークンは、リクエストごとにランダムなマスクでエンコードされるようになりました。これにより、 BREACH 攻撃に対して脆弱性になることなく、圧縮ページに含めることが安全になります。
 これは、xsrf_cookies および gzip オプション（またはプロキシによって適用された gzip）の両方を使用する、多くのアプリケーションに適用します。（bsc#930362、CVE-2014-9720）

- RequestHandler.{g,s}et_secure_cookie により使用される signed-value の書式が変わり、より安全になりました。（bsc#930361）

以下の拡張機能が実装されています：

- SSLIOStream.connect および IOStream.start_tls は、デフォルトで証明書を検証するようになりました。

- 証明書の検証では、システムの CA ルート証明書を使用することになります。

- デフォルトの SSL 構成は、クライアントサイドで ssl.create_default_context を可能な限り使用することで、より厳格になっています。

- tornado.auth モジュール、GoogleMixin、FacebookMixin、および FriendFeedMixin で、非推奨のクラスが削除されています。

- tornado.locks および tornado.queues のモジュールが新たに追加されています。

- tornado.websocket モジュールは、「permessage-deflate」拡張を通じて、圧縮をサポートするようになりました。

- Tornado は、Python 2 で実行される場合に、backports.ssl_match_hostname に依存するようになりました。

変更の包括的リストについては、以下のリリースノートを参照してください：

- http://www.tornadoweb.org/en/stable/releases/v4.2.0.html

- http://www.tornadoweb.org/en/stable/releases/v4.1.0.html

- http://www.tornadoweb.org/en/stable/releases/v4.0.0.html

- http://www.tornadoweb.org/en/stable/releases/v3.2.0.html

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Python の拡張である、ノンブロッキング Web サーバーである python-tornado で、脆弱性が発見されました。

CVE-2014-9720

CSRF クッキーは、TLS に対するサイドチャネル攻撃を可能にします（BREACH）

セキュリティ修正

XSRF トークンが、各リクエストにおいてランダムなマスクでエンコードされるようになりました。これにより、 BREACH 攻撃に対して脆弱性になることなく、圧縮ページに含めることが安全になります。旧安定版（oldstable）ディストリビューション（squeeze）では、この問題はバージョン 1.0.1-1+deb6u1 で修正されています。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
91137	Debian DLA-475-1：python-tornado セキュリティ更新	Nessus	Debian Local Security Checks	2016/5/16	2021/1/11	medium
84066	Fedora 22：python-tornado-3.2.2-1.fc22（2015-9143）	Nessus	Fedora Local Security Checks	2015/6/10	2021/1/11	medium
218614	Linux Distros のパッチ未適用の脆弱性: CVE-2014-9720	Nessus	Misc.	2025/3/4	2025/9/3	medium
86890	openSUSE セキュリティ更新：python-tornado（openSUSE-2015-741）	Nessus	SuSE Local Security Checks	2015/11/17	2021/1/19	medium
84096	Fedora 21：python-tornado-3.2.2-1.fc21（2015-8606）	Nessus	Fedora Local Security Checks	2015/6/11	2021/1/11	medium
90883	SUSE SLED12 セキュリティ更新：python-tornado（SUSE-SU-2016:1195-1）	Nessus	SuSE Local Security Checks	2016/5/4	2021/1/6	medium
84932	Debian DLA-279-1：python-tornado セキュリティ更新	Nessus	Debian Local Security Checks	2015/7/23	2021/1/11	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium