PT-2020-7788 · Tornado+1 · Tornado+1

Publicado 2015-07-01 · Atualizado 2022-05-17 · CVE-2014-9720

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

**Nome do software vulnerável e versões afetadas:

Versões do Tornado anteriores à 3.2.2

Descrição:

A vulnerabilidade permite que invasores remotos realizem um ataque BREACH e determinem um token CSRF fixo por meio de uma série de solicitações maliciosas, uma vez que o Tornado envia respostas arbitrárias que contêm esse token e podem ser enviadas com compressão HTTP.

Recomendações:

Para versões anteriores à 3.2.2, atualize para a versão 3.2.2 ou posterior para resolver o problema.

Correção

Side Channel Attack

Enumeração de Fraquezas

CWE-203

Identificadores relacionados

CVE-2014-9720

DLA-279-1

DLA-475-1

GHSA-8VPW-MGPF-MPVV

MGASA-2015-0251

PYSEC-2020-213

SUSE-SU-2016:1195-1

SUSE-SU-2016_1195-1

Produtos afetados

Suse

Tornado

Referências · 24

• https://github.com/tornadoweb/tornado · Nota
• https://github.com/tornadoweb/tornado/commit/1c36307463b1e8affae100bf9386948e6c1b2308 · Correção
• https://github.com/pypa/advisory-database/tree/main/vulns/tornado/PYSEC-2020-213.yaml · Nota
• https://osv.dev/vulnerability/MGASA-2015-0251 · Aviso do Fabricante
• http://lwn.net/Vulnerabilities/647618 · Nota
• https://suse.com/support/update/announcement/2016/suse-su-20161195-1 · Nota
• https://bugzilla.novell.com/show_bug.cgi?id=930362 · Correção
• https://osv.dev/vulnerability/PYSEC-2020-213 · Aviso do Fabricante
• https://github.com/advisories/GHSA-8vpw-mgpf-mpvv · Nota
• http://openwall.com/lists/oss-security/2015/05/19/4 · Correção
• https://advisories.mageia.org/MGASA-2015-0251.html · Nota de Segurança
• https://bugzilla.suse.com/930362 · Nota
• https://security-tracker.debian.org/tracker/CVE-2014-9720 · Aviso do Fabricante
• https://osv.dev/vulnerability/SUSE-SU-2016:1195-1 · Aviso do Fabricante
• https://bugzilla.suse.com/930361 · Nota