There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Tornado is a Python web framework and asynchronous networking library. Prior to 6.5.6, Tornado gzip
    decompression routines processed limited-size chunks but did not enforce an overall limit on accumulated
    decompressed chunks, allowing a malicious server accessed by SimpleAsyncHTTPClient or an HTTPServer
    configured with decompress_request=True to consume effectively unlimited memory. This issue is fixed in
    version 6.5.6. (CVE-2026-49855)

遠端主機上安裝的 Tornado Python 程式庫版本早於 6.5.6。因此，會受到多個弱點影響：

  - 當 SimpleAsyncHTTPClient 遵循 3xx 重新導向時，它會淺層複製原始 HTTPRequest、重寫 URL、遞減max_redirects，而且只移除 Host 標頭。當重新導向目標變更來源時，它不會清除授權、auth_username、auth_password或auth_mode。因此，當 follow_redirects=True （這是預設值） 時，用於一個來源的憑證可以轉送至不同的來源。（CVE-2026-49853）

  - Tornado 的 gzip 解壓縮常式在有限大小的區塊中運作，但對於它們將累積的解壓縮區塊的總大小沒有整體限制（總壓縮大小一直有限制）。如果惡意伺服器在其預設設定中透過 SimpleAsyncHTTPClient 存取，則可有效耗用無限制的記憶體。（CVE-2026-49855）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Tornado 是一個 Python Web 框架和非同步網絡庫。在之前 6.5.6，Tornado gzip 解壓縮常式會處理大小有限的區塊，但不會對累積的解壓縮區塊強制執行整體限制，因此允許 SimpleAsyncHTTPClient 或設定為 decompress_request=True 的 HTTPServer 存取的惡意伺服器有效地消耗無限記憶體。6.5.6 版已修正此問題。(CVE-2026-49855)

請注意，Nessus 依賴供應商報告的套件存在。

远程主机上安装的 Tornado Python 库版本低于 6.5.6. 因此，该应用程序受到多个漏洞的影响：

  - 当 SimpleAsyncHTTPClient 遵循 3xx 重定向时，会浅表复制原始 HTTPRequest、重写 URL、递减max_redirects，并且仅删除主机标头。当重定向目标更改来源时，它不会清除授权、auth_username、auth_password或auth_mode。因此，当 follow_redirects=True（默认）时，可能会将原本用于一个源的凭证转发到其他源。（CVE-2026-49853）

  - Tornado 的 gzip 解压缩例程在有限大小的区块中工作，但对它们将累积的解压缩区块的总大小没有总体限制（对总压缩大小始终有限制）。如果通过默认配置中的 SimpleAsyncHTTPClient 访问恶意服务器，则其可有效消耗无限量的内存。（CVE-2026-49855）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Tornado 是一个 Python Web 框架和异步网络库。在版本之前 6.5.6，Tornado gzip 解压缩例程可以处理有限大小的区块，但未对累积的解压缩区块强制实施总体限制，从而允许 SimpleAsyncHTTPClient 访问的恶意服务器或配置为 decompress_request=True 的 HTTPServer 有效地消耗无限制内存。此问题已在 6.5.6 版本中修复。(CVE-2026-49855)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートホストにインストールされている Tornado Python ライブラリのバージョンは、 6.5.6 より前です。そのため、以下の複数の脆弱性の影響を受けます。

  - SimpleAsyncHTTPClient が 3xx リダイレクトに従う場合、元の HTTPRequest を浅くコピーし、URL を書き換え、max_redirectsを減らし、Host ヘッダーのみを削除します。リダイレクトターゲットがオリジンが変わっても、承認、auth_username、auth_password、auth_modeはクリアされません。その結果、デフォルトの follow_redirects=True の場合、1 つの送信元に意図された認証情報が別の送信元に転送される可能性があります。(CVE-2026-49853)

  - Tornado の gzip 展開ルーチンは、制限されたサイズのチャンクで動作しますが、それらが蓄積する展開されたチャンクの合計サイズに全体的な制限はありません(総圧縮サイズには常に制限がありました)。これにより、デフォルト構成で SimpleAsyncHTTPClient 経由でアクセスされた場合、悪意のあるサーバーが事実上無制限の量のメモリを消費する可能性があります。(CVE-2026-49855)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES16 / SLES_SAP16 ホストには、SUSE-SU-2026:22373-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-tornado6 用のこの更新は、次の問題を修正します

    - CVE-2026-49853:SimpleAsyncHTTPClient(bsc#1268395)のクロスオリジンリダイレクト間で転送される承認ヘッダー。
    - CVE-2026-49854:C 拡張による領域外メモリアクセス(bsc#1268396)。
    - CVE-2026-49855:AsyncHTTPClient は、サイズ制限(bsc#1268397)なしで展開されたチャンクを蓄積します。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2725-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-tornado6 用のこの更新は、次の問題を修正します

    - CVE-2026-49853:SimpleAsyncHTTPClient(bsc#1268395)のクロスオリジンリダイレクト間で転送される承認ヘッダー。
    - CVE-2026-49854:C 拡張による領域外メモリアクセス(bsc#1268396)。
    - CVE-2026-49855:AsyncHTTPClient は、サイズ制限(bsc#1268397)なしで展開されたチャンクを蓄積します。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Tornado は Python の Web フレームワークであり、非同期ネットワークライブラリです。6.5.6 より前の Tornado gzip 展開ルーチンは、限られたサイズのチャンクを処理しましたが、累積された展開チャンクに全体的な制限を強制しませんでした。これにより、SimpleAsyncHTTPClient または decompress_request=True が設定された HTTPServer によってアクセスされた悪意のあるサーバーが、事実上無制限のメモリを消費する可能性があります。この問題はバージョン 6.5.6 で修正されています。(CVE-2026-49855)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21067-1 アドバイザリで言及されています。

    python-tornado6 用のこの更新は、次の問題を修正します

    - CVE-2026-49853:SimpleAsyncHTTPClient(bsc#1268395)のクロスオリジンリダイレクト間で転送される承認ヘッダー。
    - CVE-2026-49854:C 拡張による領域外メモリアクセス(bsc#1268396)。
    - CVE-2026-49855:AsyncHTTPClient は、サイズ制限(bsc#1268397)なしで展開されたチャンクを蓄積します。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2726-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-tornado のこの更新は、次の問題を修正します

    - CVE-2026-49853:SimpleAsyncHTTPClient(bsc#1268395)のクロスオリジンリダイレクト間で転送される承認ヘッダー。
    - CVE-2026-49854:C 拡張による領域外メモリアクセス(bsc#1268396)。
    - CVE-2026-49855:AsyncHTTPClient は、サイズ制限(bsc#1268397)なしで展開されたチャンクを蓄積します。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of the Tornado Python library installed on the remote host is prior to 6.5.6. It is, therefore, affected by multiple vulnerabilities:

  - When SimpleAsyncHTTPClient follows a 3xx redirect, it shallow-copies the original HTTPRequest, rewrites     the URL, decrements max_redirects, and removes only the Host header. It does not clear Authorization,     auth_username, auth_password, or auth_mode when the redirect target changes origin. As a result,     credentials intended for one origin can be forwarded to a different origin when follow_redirects=True,     which is the default. (CVE-2026-49853)

  - Tornado's gzip decompression routines work in limited-size chunks, but have no overall limit for the     total size of decompressed chunks that they will accumulate (There has always been a limit for the total     compressed size). This allows a malicious server to consume effectively unlimited amounts of memory if     it is accessed via SimpleAsyncHTTPClient in its default configuration. (CVE-2026-49855)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES16 / SLES_SAP16 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:22373-1 advisory.

    This update for python-tornado6 fixes the following issues

    - CVE-2026-49853: authorization header forwarded across cross-origin redirects in SimpleAsyncHTTPClient     (bsc#1268395).
    - CVE-2026-49854: out-of-bounds memory access via C extension (bsc#1268396).
    - CVE-2026-49855: AsyncHTTPClient accumulates decompressed chunks without size limit (bsc#1268397).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:2725-1 advisory.

    This update for python-tornado6 fixes the following issues

    - CVE-2026-49853: authorization header forwarded across cross-origin redirects in SimpleAsyncHTTPClient     (bsc#1268395).
    - CVE-2026-49854: out-of-bounds memory access via C extension (bsc#1268396).
    - CVE-2026-49855: AsyncHTTPClient accumulates decompressed chunks without size limit (bsc#1268397).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Tornado is a Python web framework and asynchronous networking library. Prior to 6.5.6, Tornado gzip     decompression routines processed limited-size chunks but did not enforce an overall limit on accumulated     decompressed chunks, allowing a malicious server accessed by SimpleAsyncHTTPClient or an HTTPServer     configured with decompress_request=True to consume effectively unlimited memory. This issue is fixed in     version 6.5.6. (CVE-2026-49855)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21067-1 advisory.

    This update for python-tornado6 fixes the following issues

    - CVE-2026-49853: authorization header forwarded across cross-origin redirects in SimpleAsyncHTTPClient     (bsc#1268395).
    - CVE-2026-49854: out-of-bounds memory access via C extension (bsc#1268396).
    - CVE-2026-49855: AsyncHTTPClient accumulates decompressed chunks without size limit (bsc#1268397).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:2726-1 advisory.

    This update for python-tornado fixes the following issues

    - CVE-2026-49853: authorization header forwarded across cross-origin redirects in SimpleAsyncHTTPClient     (bsc#1268395).
    - CVE-2026-49854: out-of-bounds memory access via C extension (bsc#1268396).
    - CVE-2026-49855: AsyncHTTPClient accumulates decompressed chunks without size limit (bsc#1268397).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
443227	SCA: security update for tornado (GHSA-mgf9-4vpg-hj56)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/16	2026/7/15	high
443227	SCA: security update for tornado (GHSA-mgf9-4vpg-hj56)	Tenable Cloud Security	SCA Checks	2026/6/16	2026/7/15	high
321525	Python 程式庫 Tornado < 6.5.6 多個漏洞	Nessus	Misc.	2026/6/19	2026/6/22	high
327205	Linux Distros 未修補弱點：CVE-2026-49855	Nessus	Misc.	2026/7/16	2026/7/16	high
321525	Python 库 Tornado < 6.5.6 多个漏洞	Nessus	Misc.	2026/6/19	2026/6/22	high
327205	Linux Distros 未修补的漏洞：CVE-2026-49855	Nessus	Misc.	2026/7/16	2026/7/16	high
321525	Python ライブラリ Tornado < 6.5.6 複数の脆弱性	Nessus	Misc.	2026/6/19	2026/6/22	high
324858	SUSE SLES16 セキュリティ更新:python-tornado6(SUSE-SU-2026:22373-1)	Nessus	SuSE Local Security Checks	2026/7/2	2026/7/15	high
325033	SUSE SLED15 / SLES15 セキュリティ更新:python-tornado6(SUSE-SU-2026:2725-1)	Nessus	SuSE Local Security Checks	2026/7/3	2026/7/15	high
327205	Linux Distros のパッチ未適用の脆弱性: CVE-2026-49855	Nessus	Misc.	2026/7/16	2026/7/16	high
324049	openSUSE 16 セキュリティ更新:python-tornado6(openSUSE-SU-2026:21067-1)	Nessus	SuSE Local Security Checks	2026/7/1	2026/7/15	high
325027	SUSE SLED15 / SLES15 セキュリティ更新 : python-tornado (SUSE-SU-2026:2726-1)	Nessus	SuSE Local Security Checks	2026/7/3	2026/7/15	high
321525	Python Library Tornado < 6.5.6 Multiple Vulnerabilities	Nessus	Misc.	2026/6/19	2026/6/22	high
324858	SUSE SLES16 Security Update : python-tornado6 (SUSE-SU-2026:22373-1)	Nessus	SuSE Local Security Checks	2026/7/2	2026/7/15	high
325033	SUSE SLED15 / SLES15 Security Update : python-tornado6 (SUSE-SU-2026:2725-1)	Nessus	SuSE Local Security Checks	2026/7/3	2026/7/15	high
327205	Linux Distros Unpatched Vulnerability : CVE-2026-49855	Nessus	Misc.	2026/7/16	2026/7/16	high
324049	openSUSE 16 Security Update : python-tornado6 (openSUSE-SU-2026:21067-1)	Nessus	SuSE Local Security Checks	2026/7/1	2026/7/15	high
325027	SUSE SLED15 / SLES15 Security Update : python-tornado (SUSE-SU-2026:2726-1)	Nessus	SuSE Local Security Checks	2026/7/3	2026/7/15	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high