摘要:
python-tornado security update
安全等级: High
公告ID: KylinSec-SA-2025-2568
发布日期: 2025年6月28日
关联CVE: CVE-2025-47287
Tornado 是一个开源的可扩展非阻塞式Web服务器及工具套件。
安全修复：
Tornado 是一个Python Web框架及异步网络库。当Tornado的multipart/form-data解析器遇到特定错误时，会记录警告但仍继续尝试解析剩余数据。这使得远程攻击者能够生成极高数量的日志，构成拒绝服务（DoS）攻击。由于日志子系统是同步的，该DoS攻击的影响会被进一步放大。所有早于6.5.0版本的Tornado均受影响。默认情况下，该漏洞解析器处于启用状态。请升级至Tornado 6.50版本以获取补丁。临时缓解措施包括通过代理拦截Content-Type: multipart/form-data请求。(CVE-2025-47287)
| cve名称 | 产品 | 组件 | 是否受影响 |
|---|---|---|---|
| CVE-2025-47287 | V6 | python-tornado | Fixed |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| python-tornado-help | x86_64 | 6.5-1.ks6 |
| python3-tornado | x86_64 | 6.5-1.ks6 |
| python-tornado-help | aarch64 | 6.5-1.ks6 |
| python3-tornado | aarch64 | 6.5-1.ks6 |
方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm
方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名
