🇰🇷 한글 설명
Tornado 6.5.2 이하 버전은 HTTP 헤더 값의 파라미터를 파싱할 때 비효율적인 알고리즘을 사용하여 서비스 거부(DoS)가 발생할 수 있습니다. httputil.py의 _parseparam 함수가 중첩 루프에서 string.count()를 반복 호출하여, 조작된 Content-Disposition 헤더 처리 시 CPU 사용량이 O(n²)으로 증가합니다. 이 문제는 6.5.3 버전에서 수정되었습니다.
💡 쉬운 설명
공격자가 악의적으로 조작된 요청을 보내면 웹 서버의 CPU가 과도하게 사용되어 서버가 응답하지 않게 됩니다. 단일 요청만으로도 Tornado의 단일 이벤트 루프가 멈출 수 있습니다.
🇺🇸 원문 (English)
Tornado is a Python web framework and asynchronous networking library. Versions 6.5.2 and below use an inefficient algorithm when parsing parameters for HTTP header values, potentially causing a DoS. The _parseparam function in httputil.py is used to parse specific HTTP header values, such as those in multipart/form-data and repeatedly calls string.count() within a nested loop while processing quoted semicolons. If an attacker sends a request with a large number of maliciously crafted parameters in a Content-Disposition header, the server's CPU usage increases quadratically (O(n²)) during parsing. Due to Tornado's single event loop architecture, a single malicious request can cause the entire server to become unresponsive for an extended period. This issue is fixed in version 6.5.3.
📍 영향받는 시스템
Tornado 6.5.2 이하 버전을 사용하는 Python 웹 애플리케이션 및 서버
⚔️ 공격 벡터
multipart/form-data 등의 Content-Disposition 헤더에 대량의 악의적 파라미터를 포함한 HTTP 요청을 전송
🛡️ 대응 방법
Tornado를 6.5.3 이상 버전으로 업그레이드 (pip install --upgrade 'tornado>=6.5.3')
🔧 검증 코드
출력된 버전이 6.5.3 미만이면 취약하며, 6.5.3 이상이면 패치된 것입니다.
pip show tornado 2>/dev/null | grep -i '^version'