- Yama var
- Son 7 gün
- CWE-407
- CWE-770
CVE-2026-116577
Tornado'da HTTP başlıklarının satır katlamasıyla ayrıştırılması karesel CPU tüketimine yol açıyor
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Tornado, Python için bir web çerçevesi ve asenkron ağ kitaplığıdır. 6.6 sürümü öncesinde Tornado'nun HTTP başlık ayrıştırıcısı, eski tarz satır katlamasını (line folding) kabul eder ve kısa devam satırlarını tekrar tekrar birleştirir; bu da IOLoop iş parçacığında karesel CPU tüketimine neden olur. Kimlik doğrulaması yapılmamış bir istemci, uygulama kodu çalışmadan önce çok sayıda eski satır katlaması devam satırı içeren bir başlık bloğu gönderebilir ve bu, süreç tarafından sunulan diğer bağlantıları engelleyebilir. Maliyet max_header_size değeriyle birlikte artar ve yalnızca erişilebilirlik etkilenir. Bu sorun 6.6 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Tornado is a Python web framework and asynchronous networking library. Prior to 6.6, Tornado's HTTP header parser accepts obsolete line folding and repeatedly concatenates short continuation lines, causing quadratic CPU consumption on the IOLoop thread. An unauthenticated client can submit a header block containing many obsolete line-folding continuations before application code runs, blocking other connections served by the process. The cost grows with max_header_size, and only availability is affected. This issue is fixed in version 6.6.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| tornadoweb tornado | < 6.6 | 6.6 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.