Tornado: Unsynchronisiertes Logging bei fehlerhaften multipart/form-data-Anfragen führt zu DoS

Beschreibung

Wenn der multipart/form-data-Parser von Tornado auf bestimmte Fehler stösst, protokolliert er eine Warnung und versucht dennoch, den Rest der Daten weiter zu verarbeiten. Dadurch können entfernte Angreifer eine extrem hohe Anzahl an Log-Einträgen erzeugen, was durch das synchrone Logging-Subsystem zu einem Denial-of-Service führt. Der verwundbare Parser ist standardmässig aktiviert; alle Tornado-Versionen vor 6.5.0 sind betroffen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Tornado 6.5.0; als Workaround kann Content-Type: multipart/form-data an einem Proxy blockiert werden.

Changelog

1. 2026-07-29 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Debian (DSA)

• Linux Kernel – Incorrect Resource Transfer Between Spheres (Copy Fail) KEV CVE-2026-31431
• Apple Multiple Products – Integer Overflow oder Wraparound KEV CVE-2021-30952
• Roundcube Webmail – Deserialisierung nicht vertrauenswürdiger Daten KEV CVE-2025-49113
• GNU InetUtils Argument Injection Vulnerability KEV CVE-2026-24061
• VMware Aria Operations / VMware Tools – Rechteausweitung durch unsichere Aktionen KEV CVE-2025-41244
• Sudo Inclusion of Functionality from Untrusted Control Sphere KEV CVE-2025-32463