CVE-2026-123534

Tornado przed wersją 6.5.9 nie ogranicza liczby pól ciągu zapytania w HTTPServerRequest.__init__, co umożliwia zdalnym atakującym spowodowanie zablokowania pętli zdarzeń poprzez wysyłanie żądań z tysiącami parametrów zapytania. Atakujący mogą wysyłać nieuwierzytelnione żądania GET z nieograniczoną liczbą pól ciągu zapytania, aby pogorszyć czasy odpowiedzi dla wszystkich klientów korzystających z tego samego IOLoop.

Tornado w wersji przed 6.6 nie waliduje argumentu max_age w RequestHandler.set_cookie (wywoływanego również przez set_signed_cookie, set_secure_cookie i clear_cookie), co pozwala na wstrzyknięcie dodatkowych atrybutów Set-Cookie. Gdy aplikacja przekazuje dane pod wpływem atakującego jako max_age, atakujący może osadzić atrybuty takie jak Domain, Path lub Secure, aby rozszerzyć zakres ciasteczka na katalogi nadrzędne lub inne subdomeny.

Tornado to framework webowy i biblioteka asynchroniczna dla Pythona. Przed wersją 6.6 szablony URL w tornado.web.RedirectHandler mogą umieszczać podstawienia przechwycone przez wyrażenia regularne w miejscach, gdzie spreparowane ścieżki żądań zmieniają schemat przekierowania lub lokalizację sieciową. Może to prowadzić do otwartego przekierowania na domenie aplikacji, wykorzystywanego w atakach phishingowych.

Tornado, framework webowy i biblioteka asynchroniczna dla Pythona, w wersjach przed 6.6 akceptuje przestarzałe składanie nagłówków HTTP (obsolete line folding) i wielokrotnie łączy krótkie linie kontynuacji, co powoduje kwadratowe zużycie CPU na wątku IOLoop. Nieuwierzytelniony klient może przesłać blok nagłówków z wieloma kontynuacjami przed uruchomieniem kodu aplikacji, blokując inne połączenia obsługiwane przez proces. Koszt rośnie wraz z max_header_size, a wpływ dotyczy wyłącznie dostępności.

W bibliotece Tornado przed wersją 6.6.0 dekodowanie kodowania chunked HTTP/1.1 przetwarza dane bez oddawania sterowania pętli zdarzeń. Zdalny nieuwierzytelniony atakujący może wysłać miliony jednobajtowych fragmentów, aby zmonopolizować pętlę zdarzeń i zablokować wszystkie inne połączenia obsługiwane przez proces. Problem dotyczy także SimpleAsyncHTTPClient przy odczycie odpowiedzi od złośliwego serwera.

Tornado przed wersją 6.5.9 zawiera podatność na traversal ścieżek w StaticFileHandler, która podąża za dowiązaniami symbolicznymi wewnątrz katalogu statycznego bez potwierdzenia, że rozwiązany cel pozostaje w jego obrębie. Gdy wewnątrz katalogu statycznego istnieje dowiązanie symboliczne wskazujące poza katalog statyczny, nieuwierzytelnieni atakujący mogą je wykorzystać do odczytu plików takich jak pliki konfiguracyjne, klucze prywatne i sekrety aplikacji dostępne dla procesu użytkownika.

Tornado w wersjach przed 6.5.9 zawiera podatność na nieograniczone gromadzenie pamięci w CurlAsyncHTTPClient, która pozwala zdalnym atakującym wywołać odmowę usługi poprzez wysłanie skompresowanej odpowiedzi. Atakujący mogą wysłać bombę dekompresyjną zakodowaną w gzip, która gromadzi się w pamięci bez limitów rozmiaru, powodując zabicie procesu aplikacji przez warunki braku pamięci.

Tornado w wersjach przed 6.5.7 zawiera podatność polegającą na wycieku poświadczeń w CurlAsyncHTTPClient, gdzie uchwyty pycurl są ponownie używane między żądaniami bez prawidłowego czyszczenia stanu. Atakujący mogą uzyskać poufne poświadczenia, wysyłając żądania przez tę samą instancję klienta, co pozwala na utrzymanie certyfikatów TLS lub uwierzytelniania proxy między niepowiązanymi żądaniami.

Tornado w wersjach przed 6.5.8 zawiera niekompletną poprawkę na wstrzykiwanie atrybutów cookie, która pozwala atakującym wstrzykiwać dowolne atrybuty cookie poprzez przekazywanie pisanych wielką literą lub przestarzałych argumentów słów kluczowych do set_cookie. Atakujący mogą osadzać dane rozdzielane średnikami w parametrach pisanych wielką literą, takich jak Domain, Path lub SameSite, aby obejść walidację i zmodyfikować atrybuty bezpieczeństwa cookie.

Tornado przed wersją 6.5.8 zawiera podatność na amplifikację pamięci w funkcji parse_multipart_form_data, która dzieli dane multipart przed walidacją limitu max_parts. Atakujący mogą wysyłać spreparowane żądania multipart z wieloma częściami, tworząc duże tymczasowe listy, co wyczerpuje pamięć serwera i powoduje denial of service.