发现 python-tornado（一个 Python web 架构和异步网络连接库）容易受到 BREACH 攻击。现已针对每个请求使用随机掩码对 XSRF 标记进行了编码。如此可使其安全地包含在压缩页面中，而不容易受到攻击。

对于 Debian 7“Wheezy”，这些问题已在 2.3-2+deb7u1 版本中修复。

建议您升级 python-tornado 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

安全补丁

现已针对每个请求使用随机掩码对 XSRF 标记进行了编码。此操作可使其安全地包括在压缩页面中，而不容易遭受 BREACH 攻击。此操作适用于使用 xsrf_cookies 和 gzip 选项（或已通过代理应用 gzip）的多数应用程序。

向后兼容注意事项

如果在相同域中同时运行 Tornado 3.2.2 及其旧版本，则可能出现因 Cookie 版本不同而造成的问题。在过渡期间，可使用应用程序设置 xsrf_cookie_version=1，从而在较新的服务器上生成旧的 Cookie 格式。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 3.2.2 之前的 Tornado 发送任意响应（其中包含固定的 CSRF 标记并可能通过 HTTP 压缩发送），这使远程攻击者更容易通过一系列构建的请求进行 BREACH 攻击并确定此标记。 (CVE-2014-9720)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

python-tornado 模块已更新至 4.2.1 版，带来了数个修复、增强功能和新功能。

修复了以下安全问题：

- StaticFileHandler 中的一个路径遍历漏洞，在此情况下，可以访问名称以 static_path 目录开头但实际并不在该目录中的文件。

- 现已针对每个请求使用随机掩码对 XSRF 标记进行了编码。此操作可使其安全地包括在压缩页面中，而不容易遭受 BREACH 攻击。
 此操作适用于使用 xsrf_cookies 和 gzip 选项（或已通过代理应用 gzip）的多数应用程序。（bsc#930362、CVE-2014-9720）

- RequestHandler.{g,s}et_secure_cookie 使用的有符号值格式变得更加安全。(bsc#930361)

已实现下列增强功能：

- 现在，SSLIOStream.connect 和 IOStream.start_tls 默认会执行证书验证。

- 证书验证现在将使用系统 CA 根证书。

- 默认 SSL 配置已变得更加严格，在客户端提供时使用 ssl.create_default_context。

- 已删除 tornado.auth 模块中过时的类 GoogleMixin、FacebookMixin 和 FriendFeedMixin。

- 已新增模块：tornado.locks 和 tornado.queues。

- tornado.websocket 模块现在可通过“permessage-deflate”扩展支持压缩。

- 当在 Python 2 上运行时，Tornado 现在依赖于 backports.ssl_match_hostname。

如需完整的变更列表，请参阅发行说明：

- http://www.tornadoweb.org/en/stable/releases/v4.2.0.html

- http://www.tornadoweb.org/en/stable/releases/v4.1.0.html

- http://www.tornadoweb.org/en/stable/releases/v4.0.0.html

- http://www.tornadoweb.org/en/stable/releases/v3.2.0.html

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在 python-tornado 中发现一个漏洞，可扩展 Python，非阻塞 web 服务器。

CVE-2014-9720

CSRF cookie 可发动针对 TLS 的边信道攻击 (BREACH)。

安全补丁

现已针对每个请求使用随机掩码对 XSRF 标记进行了编码。此操作可使其安全地包括在压缩页面中，而不容易遭受 BREACH 攻击。对于旧稳定发行版本 (squeeze)，已在版本 1.0.1-1+deb6u1 中修复该问题。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

python-tornado 已更新，修复了一个安全问题。

修复了以下漏洞：

- CVE-2014-9720：XSRF Cookie 允许针对 TLS 的边信道攻击 (BREACH)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
91137	Debian DLA-475-1：python-tornado 安全更新	Nessus	Debian Local Security Checks	2016/5/16	2021/1/11	medium
84066	Fedora 22：python-tornado-3.2.2-1.fc22 (2015-9143)	Nessus	Fedora Local Security Checks	2015/6/10	2021/1/11	medium
218614	Linux Distros 未修补的漏洞: CVE-2014-9720	Nessus	Misc.	2025/3/4	2025/9/3	medium
84096	Fedora 21：python-tornado-3.2.2-1.fc21 (2015-8606)	Nessus	Fedora Local Security Checks	2015/6/11	2021/1/11	medium
90883	SUSE SLED12 安全更新：python-tornado (SUSE-SU-2016:1195-1)	Nessus	SuSE Local Security Checks	2016/5/4	2021/1/6	medium
84932	Debian DLA-279-1：python-tornado 安全更新	Nessus	Debian Local Security Checks	2015/7/23	2021/1/11	medium
86890	openSUSE 安全更新：python-tornado (openSUSE-2015-741)	Nessus	SuSE Local Security Checks	2015/11/17	2021/1/19	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium