Iniciar sesión
Deutsch English Español Polski
Baja

Tornado has out-of-bounds memory access via C extension

  • Publicada: 12.06.2026
  • Actualizado: 11.10.2026 15:17

Summary

Tornado's optional native extension tornado.speedups implements websocket_mask without validating that the mask argument is exactly four bytes long. The C function reads four bytes from mask unconditionally, even when Python passes a shorter byte string. This can read beyond the provided buffer, exposing up to 3 bytes of uninitialized memory.

The behavior is reachable from Tornado's XSRF token decoder when xsrf_cookies=True and the native extension is active.

Mitigations

This bug is fixed in Tornado 6.5.6. Prior to upgrading to this version, setting the environment variable TORNADO_EXTENSION=0 will disable the vulnerable code (at the expense of reducing websocket performance).

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) tornado < 6.5.6 6.5.6

Referencias

Puntuación CVSS 3.7/10
Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Debilidad (CWE)
CWE-126
Plataforma
Python (PyPI)
Paquete
tornado
Publicada
12.06.2026
Actualizado
11.10.2026 15:17

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2026-3388 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-cx3h-4qpv-8hc9 - CC BY 4.0

Historial de vulnerabilidades: tornado

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (23) en el archivo
Entradas en total
23
Primera → última
05.2012 09.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Alta 13
  • Media 8
  • Baja 2

Divulgaciones por año

antes: 1

Gravedad:
  1. tornado: CurlAsyncHTTPClient enforces no response-size limit — decompression bomb drives unbounded memory accumulation to OOM
    Alta · 7.5 CVE-2026-103262 < 6.5.9 6.5.9
  2. Tornado: StaticFileHandler follows symlinks outside static root (path traversal)
    Alta CVE-2026-103263 < 6.5.9 6.5.9
  3. Tornado: Urlencoded body parsing omits max_num_fields, so one request can stall the event loop
    Alta · 7.5 CVE-2026-82397 < 6.5.8 6.5.8
  4. Tornado: Authorization header forwarded across cross-origin redirects in SimpleAsyncHTTPClient
    Alta · 7.7 CVE-2026-49853 < 6.5.6 6.5.6
  5. tornado AsyncHTTPClient accumulates decompressed chunks without size limit (gzip bomb)
    Alta · 7.5 CVE-2026-49855 < 6.5.6 6.5.6
  6. Tornado has out-of-bounds memory access via C extension esta entrada
    Baja · 3.7 CVE-2026-49854 < 6.5.6 6.5.6
  7. Tornado has cookie attribute injection via .RequestHandler.set_cookie
    Alta · 7.2 CVE-2026-35536 < 6.5.5 6.5.5
  8. Tornado is vulnerable to DoS due to too many multipart parts
    Alta · 7.5 CVE-2026-31958 < 6.5.5 6.5.5
  9. Tornado: Quadratic DoS via Crafted Multipart Parameters
    Alta · 7.5 CVE-2025-67726 < 6.5.3 6.5.3
  10. Tornado: Quadratic DoS via Repeated Header Coalescing
    Alta · 7.5 CVE-2025-67725 < 6.5.3 6.5.3
  11. Tornado vulnerable to excessive logging caused by malformed multipart form data
    Alta · 7.5 CVE-2025-47287 < 6.5 6.5
  12. Tornado has an HTTP cookie parsing DoS vulnerability
    Alta · 7.5 CVE-2024-52804 < 6.4.2 6.4.2
  13. Tornado before 3.2.2 sends arbitrary responses that contain a fixed CSRF token and may be sent with HTTP compression, which makes it easier for remote attackers to conduct a BREACH attack and determin
    Alta · 6.5 CVE-2014-9720 < 3.2.2 3.2.2
  14. CRLF injection vulnerability in the tornado.web.RequestHandler.set_header function in Tornado before 2.2.1 allows remote attackers to inject arbitrary HTTP headers and conduct HTTP response splitting
    Alta · 7.5 CVE-2012-2374 < 2.2.1 2.2.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.