p PatchFirst

CVE-2025-67726

CVE-2025-67726 · Tornado is Vulnerable to Quadratic DoS via Crafted Multipart Parameters

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Tornado is a Python web framework and asynchronous networking library. Versions 6.5.2 and below use an inefficient algorithm when parsing parameters for HTTP header values, potentially causing a DoS. The _parseparam function in httputil.py is used to parse specific HTTP header values, such as those in multipart/form-data and repeatedly calls string.count() within a nested loop while processing quoted semicolons. If an attacker sends a request with a large number of maliciously crafted parameters in a Content-Disposition header, the server's CPU usage increases quadratically (O(n²)) during parsing. Due to Tornado's single event loop architecture, a single malicious request can cause the entire server to become unresponsive for an extended period. This issue is fixed in version 6.5.3.

CVSS 7.5 · Alta · EPSS 0,5% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · python

Productos y versiones afectados

  • tornado

    Versiones
    • < 6.5.3: Afectada

    Sin corrección publicada

  • python-tornado Debian:12

    Versiones
    • 6.2.0-3
    • 6.2.0-3+deb12u1
    • 6.2.0-3+deb12u2
    • 6.2.0-3+deb12u3
    Intervalos de versiones afectados
    • ECOSYSTEM: < 6.2.0-3+deb12u4

    Actualiza a 6.2.0-3+deb12u4

  • python-tornado Debian:13

    Versiones
    • 6.4.2-3
    • 6.4.2-3+deb13u1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 6.4.2-3+deb13u2

    Actualiza a 6.4.2-3+deb13u2

  • python-tornado Debian:14

    Versiones
    • 6.4.2-3
    • 6.5.2-1
    • 6.5.2-2
    • 6.5.2-3
    Intervalos de versiones afectados
    • ECOSYSTEM: < 6.5.4-0.1

    Actualiza a 6.5.4-0.1

  • tornado PyPI

    Versiones
    • 0.2
    • 1.0
    • 1.1
    • 1.1.1
    • 1.2
    • 1.2.1
    • 2.0
    • 2.1
    • 2.1.1
    • 2.2
    • 2.2.1
    • 2.3
    • 2.4
    • 2.4.1
    • 3.0
    • 3.0.1
    • 3.0.2
    • 3.1
    • 3.1.1
    • 3.2
    • 3.2.1
    • 3.2.2
    • 4.0
    • 4.0.1
    • 4.0.2
    • 4.1
    • 4.1b2
    • 4.2
    • 4.2.1
    • 4.2b1
    • 4.3
    • 4.3b1
    • 4.3b2
    • 4.4
    • 4.4.1
    • 4.4.2
    • 4.4.3
    • 4.4b1
    • 4.5
    • 4.5.1
    • 4.5.2
    • 4.5.3
    • 4.5b1
    • 4.5b2
    • 5.0
    • 5.0.1
    • 5.0.2
    • 5.0a1
    • 5.0b1
    • 5.1
    • 5.1.1
    • 5.1b1
    • 6.0
    • 6.0.1
    • 6.0.2
    • 6.0.3
    • 6.0.4
    • 6.0a1
    • 6.0b1
    • 6.1
    • 6.1b1
    • 6.1b2
    • 6.2
    • 6.2b1
    • 6.2b2
    • 6.3
    • 6.3.1
    • 6.3.2
    • 6.3.3
    • 6.3b1
    • 6.4
    • 6.4.1
    • 6.4.2
    • 6.4b1
    • 6.5
    • 6.5.1
    • 6.5.2
    • 6.5b1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 6.5.3

    Actualiza a 6.5.3

  • python-tornado Ubuntu:Pro:16.04:LTS

    Versiones
    • 4.2.1-1ubuntu2
    • 4.2.1-1ubuntu3
    • 4.2.1-1ubuntu3.1
    • 4.2.1-1ubuntu3.1+esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 4.2.1-1ubuntu3.1+esm2

    Actualiza a 4.2.1-1ubuntu3.1+esm2

  • python-tornado Ubuntu:Pro:18.04:LTS

    Versiones
    • 4.5.1-2.1~build2
    • 4.5.2-1
    • 4.5.3-1
    • 4.5.3-1ubuntu0.1
    • 4.5.3-1ubuntu0.2
    • 4.5.3-1ubuntu0.2+esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 4.5.3-1ubuntu0.2+esm2

    Actualiza a 4.5.3-1ubuntu0.2+esm2

  • python-tornado Ubuntu:Pro:20.04:LTS

    Versiones
    • 5.1.1-4ubuntu1
    • 5.1.1-4ubuntu5
    • 6.0.3+really5.1.1-2
    • 6.0.3+really5.1.1-2build1
    • 6.0.3+really5.1.1-2build2
    • 6.0.3+really5.1.1-3
    • 6.0.3+really5.1.1-3ubuntu0.1~esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 6.0.3+really5.1.1-3ubuntu0.1~esm3

    Actualiza a 6.0.3+really5.1.1-3ubuntu0.1~esm3

  • python-tornado Ubuntu:Pro:22.04:LTS

    Versiones
    • 6.1.0-1build1
    • 6.1.0-2
    • 6.1.0-3
    • 6.1.0-3build1
    • 6.1.0-3ubuntu0.1~esm1
    • 6.1.0-3ubuntu0.1~esm2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 6.1.0-3ubuntu0.1~esm4

    Actualiza a 6.1.0-3ubuntu0.1~esm4

  • python-tornado Ubuntu:24.04:LTS

    Versiones
    • 6.3.2-1
    • 6.4.0-0ubuntu1
    • 6.4.0-1
    • 6.4.0-1build1
    • 6.4.0-1ubuntu0.1
    • 6.4.0-1ubuntu0.2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 6.4.0-1ubuntu0.4

    Actualiza a 6.4.0-1ubuntu0.4

  • python-tornado Ubuntu:25.10

    Versiones
    • 6.4.2-1
    • 6.4.2-2
    • 6.4.2-2ubuntu1
    • 6.4.2-3
    Intervalos de versiones afectados
    • ECOSYSTEM: < 6.4.2-3ubuntu0.2

    Actualiza a 6.4.2-3ubuntu0.2

Fuentes originales

Comprueba tu servidor →