BDU:2025-08361
Сообщество свободного программного обеспечения, FriendFeed, ООО «РусБИТех-Астра», ООО «Ред Софт» Astra Linux Common Edition, Astra Linux Special Edition, Debian GNU/Linux, РЕД ОС, Tornado
2025-05-15
Уязвимость компонента multipart/form-data веб-фреймворка и асинхронной сетевой библиотеки Tornado связана с использованием неверных токенов аутентификации в результате неограниченного распределения ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании
Технический анализ и план устранения
🇷🇺 Рекомендация ФСТЭК
В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.
Использование рекомендаций: Для Tornado: https://github.com/tornadoweb/tornado/security/advisories/GHSA-7cx3-6m66-7c5m https://github.com/tornadoweb/tornado/commit/b39b892bf78fe8fea01dd45199aa88307e7162f3
Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2025-47287
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОС Astra Linux: обновить пакет python-tornado до 6.2.0-3.astra3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0811SE18
Для ОС Astra Linux: обновить пакет python-tornado до 5.1.1-5+deb10u2.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0923SE17
Для ОС Astra Linux: обновить пакет python-tornado до 5.1.1-5+deb10u2.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1020SE47
Для ОС Astra Linux: обновить пакет python-tornado до 4.4.3-1+deb9u1+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16