🇰🇷 한글 설명
6.5.9 미만 버전의 Tornado는 CurlAsyncHTTPClient에서 제한 없는 메모리 누적 취약점이 존재합니다. 공격자가 압축된 응답을 전송할 경우, gzip 압축 해제 폭탄이 메모리에 무제한으로 쌓여 프로세스가 메모리 부족(OOM)으로 강제 종료될 수 있습니다.
💡 쉬운 설명
압축된 파일을 풀 때 용량이 엄청나게 커지는 '압축 폭탄'을 이용한 공격입니다. 이 공격을 받으면 서버의 메모리가 가득 차서 프로그램이 갑자기 꺼질 수 있습니다.
🇺🇸 원문 (English)
Tornado versions before 6.5.9 contain an unbounded memory accumulation vulnerability in CurlAsyncHTTPClient that allows remote attackers to cause denial of service by sending a compressed response. Attackers can send a gzip-encoded decompression bomb that accumulates in memory without size limits, causing the application process to be killed by out-of-memory conditions.
📍 영향받는 시스템
Tornado versions before 6.5.9
⚔️ 공격 벡터
원격 공격자가 특수하게 제작된 gzip 압축 응답을 전송하여 메모리 고갈 유도
🛡️ 대응 방법
Tornado 버전을 6.5.9 이상으로 업데이트
🔧 검증 코드
출력된 Version이 6.5.9 미만이면 취약한 상태입니다.
pip show tornado | grep Version