- Yama var
- Son 7 gün
- CWE-400
- CWE-770
CVE-2026-115927
Tornado'da parçalı (chunked) gövdelerde olay döngüsünün engellenmesi ve aşırı bellek kullanımı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Tornado, Python için bir web çerçevesi ve asenkron ağ kütüphanesidir. 6.6.0 sürümünden önce Tornado, HTTP/1.1 parçalı aktarım kodlamasını (chunked transfer encoding) işlerken, zaten gelmiş olan gövde verilerini olay döngüsüne kontrol vermeden işlemektedir. Kimlik doğrulaması yapılmamış uzak bir istemci, işlem olay döngüsünü tekeline alıp o süreç tarafından sunulan diğer tüm bağlantıları durdurmak için milyonlarca bir baytlık parça gönderebilir; max_body_size değerinin düşürülmesi ise yalnızca her isteğin süresini sınırlamaktadır. @stream_request_body kullanmayan işleyiciler için her bir parçanın ayrı bir nesne olarak tutulması, alınan gövde boyutunun yaklaşık yirmi katı kadar bellek tüketebilir. SimpleAsyncHTTPClient de kötü niyetli bir sunucudan yanıt okurken aynı olay döngüsü davranışını göstermektedir. Bu sorun 6.6.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Tornado is a Python web framework and asynchronous networking library. Prior to 6.6.0, Tornado decodes HTTP/1.1 chunked transfer encoding by processing body data that has already arrived without yielding to the event loop. A remote unauthenticated peer can send millions of one-byte chunks to monopolize the process event loop and stall every other connection served by that process, while lowering max_body_size only limits the duration of each request. For handlers that do not use @stream_request_body, retaining each chunk as a separate object can consume roughly twenty times the received body size, and SimpleAsyncHTTPClient has the same event-loop behavior when reading a response from a malicious server. This issue is fixed in version 6.6.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| tornadoweb tornado | < 6.6.0 | 6.6.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.