Python 库 Tornado < 6.5.6 多个漏洞

high Nessus 插件 ID 321525

语言：

简介

远程主机上安装的 Python 库受到多个漏洞的影响。

描述

远程主机上安装的 Tornado Python 库版本低于 6.5.6. 因此，该应用程序受到多个漏洞的影响：

- 当 SimpleAsyncHTTPClient 遵循 3xx 重定向时，会浅表复制原始 HTTPRequest、重写 URL、递减max_redirects，并且仅删除主机标头。当重定向目标更改来源时，它不会清除授权、auth_username、auth_password或auth_mode。因此，当 follow_redirects=True（默认）时，可能会将原本用于一个源的凭证转发到其他源。（CVE-2026-49853）

- Tornado 的 gzip 解压缩例程在有限大小的区块中工作，但对它们将累积的解压缩区块的总大小没有总体限制（对总压缩大小始终有限制）。如果通过默认配置中的 SimpleAsyncHTTPClient 访问恶意服务器，则其可有效消耗无限量的内存。（CVE-2026-49855）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。