crítica
CVE-2023-54397
python-tornado: Tornado before 6.3.3 HTTP Request Smuggling via Content-Length
En la Trivy database desde, como mínimo, el 24 oct 2026, 07:11 UTCNo consta cuándo entró antes de ese build.
Severidad por fuente
Red Hat7.5CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:H/A:N
La etiqueta propia de Trivy es CRITICAL. Crítica según Red Hat. Más baja según Ubuntu (media).
Descripción
Tornado before 6.3.3 contains an HTTP request smuggling vulnerability due to improper parsing of Content-Length headers accepting non-standard characters. Attackers can send crafted HTTP requests with these characters to bypass proxy validation and smuggle requests when deployed behind certain proxies.
Paquetes afectados y versiones corregidas
| Fuente | Paquete | Corregido en |
|---|---|---|
| Red Hat | python-tornado, python-tornado-doc | sin corrección indicada |
| debian 11 | python-tornado | sin corrección indicada |
| debian 12 | python-tornado | sin corrección indicada |
| debian 13 | python-tornado | 6.4.0-1 |
| debian 14 | python-tornado | 6.4.0-1 |
| echo | python-tornado | 6.4.0-1 |
| rapidfort amazon linux 2023 | python-tornado | sin corrección indicada |
| rapidfort debian 12 | python-tornado | 0:6.4.0-1 |
| rapidfort debian 13 | python-tornado | 0:6.4.0-1 |
| ubuntu 18.04-ESM | python-tornado | 4.5.3-1ubuntu0.2+esm4 |
| ubuntu 20.04-ESM | python-tornado | 6.0.3+really5.1.1-3ubuntu0.1~esm6 |
| ubuntu 22.04 | python-tornado | sin corrección indicada |
Mostrar las 13 entradas de 12 fuentes
| Fuente | Paquete | Corregido en |
|---|---|---|
| Red Hat | python-tornado | sin corrección indicada |
| Red Hat | python-tornado-doc | sin corrección indicada |
| debian 11 | python-tornado | sin corrección indicada |
| debian 12 | python-tornado | sin corrección indicada |
| debian 13 | python-tornado | 6.4.0-1 |
| debian 14 | python-tornado | 6.4.0-1 |
| echo | python-tornado | 6.4.0-1 |
| rapidfort amazon linux 2023 | python-tornado | sin corrección indicada |
| rapidfort debian 12 | python-tornado | 0:6.4.0-1 |
| rapidfort debian 13 | python-tornado | 0:6.4.0-1 |
| ubuntu 18.04-ESM | python-tornado | 4.5.3-1ubuntu0.2+esm4 |
| ubuntu 20.04-ESM | python-tornado | 6.0.3+really5.1.1-3ubuntu0.1~esm6 |
| ubuntu 22.04 | python-tornado | sin corrección indicada |
Referencias
- https://access.redhat.com/security/cve/CVE-2023-54397
- https://github.com/tornadoweb/tornado/security/advisories/GHSA-qppv-j76h-2rpx
- https://nvd.nist.gov/vuln/detail/CVE-2023-54397
- https://ubuntu.com/security/notices/USN-8952-1
- https://www.cve.org/CVERecord?id=CVE-2023-54397
- https://www.vulncheck.com/advisories/tornado-before-6.3.3-http-request-smuggling-via-content-length