Zaloguj się
Deutsch English Español Polski
Niska

Tornado has out-of-bounds memory access via C extension

  • Ujawniono: 12.06.2026
  • Aktualizacja: 11.10.2026 15:17

Summary

Tornado's optional native extension tornado.speedups implements websocket_mask without validating that the mask argument is exactly four bytes long. The C function reads four bytes from mask unconditionally, even when Python passes a shorter byte string. This can read beyond the provided buffer, exposing up to 3 bytes of uninitialized memory.

The behavior is reachable from Tornado's XSRF token decoder when xsrf_cookies=True and the native extension is active.

Mitigations

This bug is fixed in Tornado 6.5.6. Prior to upgrading to this version, setting the environment variable TORNADO_EXTENSION=0 will disable the vulnerable code (at the expense of reducing websocket performance).

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) tornado < 6.5.6 6.5.6

Odnośniki

Ocena CVSS 3.7/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE)
CWE-126
Platforma
Python (PyPI)
Paczka
tornado
Ujawniono
12.06.2026
Aktualizacja
11.10.2026 15:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-3388 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-cx3h-4qpv-8hc9 - CC BY 4.0

Historia podatności: tornado

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (23) w archiwum
Wszystkich wpisów
23
Pierwsza → ostatnia
05.2012 09.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 13
  • Średnia 8
  • Niska 2

Ujawnienia w latach

wcześniej: 1

Istotność:
  1. tornado: CurlAsyncHTTPClient enforces no response-size limit — decompression bomb drives unbounded memory accumulation to OOM
    Wysoka · 7.5 CVE-2026-103262 < 6.5.9 6.5.9
  2. Tornado: StaticFileHandler follows symlinks outside static root (path traversal)
    Wysoka CVE-2026-103263 < 6.5.9 6.5.9
  3. Tornado: Urlencoded body parsing omits max_num_fields, so one request can stall the event loop
    Wysoka · 7.5 CVE-2026-82397 < 6.5.8 6.5.8
  4. Tornado: Authorization header forwarded across cross-origin redirects in SimpleAsyncHTTPClient
    Wysoka · 7.7 CVE-2026-49853 < 6.5.6 6.5.6
  5. tornado AsyncHTTPClient accumulates decompressed chunks without size limit (gzip bomb)
    Wysoka · 7.5 CVE-2026-49855 < 6.5.6 6.5.6
  6. Tornado has out-of-bounds memory access via C extension ten wpis
    Niska · 3.7 CVE-2026-49854 < 6.5.6 6.5.6
  7. Tornado has cookie attribute injection via .RequestHandler.set_cookie
    Wysoka · 7.2 CVE-2026-35536 < 6.5.5 6.5.5
  8. Tornado is vulnerable to DoS due to too many multipart parts
    Wysoka · 7.5 CVE-2026-31958 < 6.5.5 6.5.5
  9. Tornado: Quadratic DoS via Crafted Multipart Parameters
    Wysoka · 7.5 CVE-2025-67726 < 6.5.3 6.5.3
  10. Tornado: Quadratic DoS via Repeated Header Coalescing
    Wysoka · 7.5 CVE-2025-67725 < 6.5.3 6.5.3
  11. Tornado vulnerable to excessive logging caused by malformed multipart form data
    Wysoka · 7.5 CVE-2025-47287 < 6.5 6.5
  12. Tornado has an HTTP cookie parsing DoS vulnerability
    Wysoka · 7.5 CVE-2024-52804 < 6.4.2 6.4.2
  13. Tornado before 3.2.2 sends arbitrary responses that contain a fixed CSRF token and may be sent with HTTP compression, which makes it easier for remote attackers to conduct a BREACH attack and determin
    Wysoka · 6.5 CVE-2014-9720 < 3.2.2 3.2.2
  14. CRLF injection vulnerability in the tornado.web.RequestHandler.set_header function in Tornado before 2.2.1 allows remote attackers to inject arbitrary HTTP headers and conduct HTTP response splitting
    Wysoka · 7.5 CVE-2012-2374 < 2.2.1 2.2.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.