🇰🇷 한글 설명
Tornado 6.6 이전 버전의 HTTP 헤더 파서는 더 이상 권장되지 않는 줄 접기(line folding) 형식을 허용하며, 짧은 연속 줄을 반복적으로 이어 붙입니다. 이로 인해 IOLoop 스레드에서 CPU 사용량이 제곱에 비례해 증가하며, 인증되지 않은 클라이언트가 많은 줄 접기 헤더를 보내 다른 연결 처리를 막을 수 있습니다. 영향은 가용성에 한정되며 6.6 버전에서 수정되었습니다.
💡 쉬운 설명
Tornado 웹 서버가 특정 형식의 악성 요청을 받으면 처리 시간이 급격히 늘어나 서버가 느려지거나 멈출 수 있습니다. 로그인 없이도 공격이 가능하므로 버전을 업데이트해야 합니다.
🇺🇸 원문 (English)
Tornado is a Python web framework and asynchronous networking library. Prior to 6.6, Tornado's HTTP header parser accepts obsolete line folding and repeatedly concatenates short continuation lines, causing quadratic CPU consumption on the IOLoop thread. An unauthenticated client can submit a header block containing many obsolete line-folding continuations before application code runs, blocking other connections served by the process. The cost grows with max_header_size, and only availability is affected. This issue is fixed in version 6.6.
📍 영향받는 시스템
Tornado 6.6 미만 버전을 사용하는 Python 웹 애플리케이션 및 서비스
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 줄 접기 연속 라인이 많은 HTTP 헤더를 전송하여 서버의 CPU를 소진시키고 다른 연결을 차단
🛡️ 대응 방법
Tornado를 6.6 이상 버전으로 업그레이드 (pip install --upgrade 'tornado>=6.6')
🔧 검증 코드
출력된 버전이 6.6 미만이면 취약하며, 6.6 이상이면 패치가 적용된 것입니다. 명령이 실패하면 Tornado가 설치되지 않은 것입니다.
python3 -c "import tornado; print(tornado.version)" 2>/dev/null