Vulnerabilidad en Tornado (CVE-2025-47287)
Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
15/05/2025
Última modificación:
29/05/2025
Descripción
Tornado es un framework web de Python y una librería de redes asíncronas. Cuando el analizador ``multipart/form-data`` de Tornado detecta ciertos errores, registra una advertencia, pero continúa intentando analizar el resto de los datos. Esto permite a atacantes remotos generar un volumen extremadamente alto de registros, lo que constituye un ataque de denegación de servicio (DoS). Este DoS se ve agravado por el hecho de que el subsistema de registro es síncrono. Todas las versiones de Tornado anteriores a la 6.5.0 están afectadas. El analizador vulnerable está habilitado por defecto. Actualice a la versión 6.50 de Tornado para recibir un parche. Como workaround, se puede mitigar el riesgo bloqueando `Content-Type: multipart/form-data` en un proxy.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA