USN-8952-1: Ubuntu corregge sei falle DoS in Tornado, libreria web Python

Ubuntu ha pubblicato il 22 ottobre 2026 l'avviso USN-8952-1 per il pacchetto python3-tornado, libreria web asincrona molto usata in Python per gestire grandi quantità di connessioni simultanee (long polling, WebSocket) e presente come dipendenza in strumenti come JupyterLab. Chi ha server Ubuntu con applicazioni basate su Tornado deve aggiornare il pacchetto.

Le sei vulnerabilità

L'avviso raggruppa sei CVE: CVE-2023-54397, CVE-2024-14029, CVE-2026-91990, CVE-2026-91992, CVE-2026-103262, CVE-2026-103263. Tornado non gestiva correttamente alcune richieste HTTP e input di rete, e un attaccante poteva usare questi problemi per causare un denial of service, esporre informazioni sensibili o aggirare controlli di accesso.

Due delle falle più recenti sono state documentate meglio da altre fonti. CVE-2026-103262 riguarda il client HTTP opzionale CurlAsyncHTTPClient: un server malevolo può restituire un payload piccolo e molto compresso che si espande a una dimensione enorme, esaurendo la memoria e mandando in crash l'applicazione. Il client di default di Tornado non è coinvolto: SimpleAsyncHTTPClient include soglie integrate per le dimensioni dei payload e non è interessato dal problema, mentre i sistemi che configurano esplicitamente CurlAsyncHTTPClient non applicano questi limiti. Chi usa Tornado solo con il client predefinito, quindi, è esposto in misura minore a questo specifico CVE, ma resta comunque interessato dalle altre cinque falle corrette nello stesso aggiornamento.

CVE-2026-91990 riguarda invece il parsing dei form multipart: Tornado prima della 6.5.8 conteneva una vulnerabilità di amplificazione di memoria in parse_multipart_form_data, che divideva i dati multipart prima di validare il limite max_parts, con il corpo limitato solo da max_buffer_size (default 104857600 byte).

Versioni corrette per release

Release Ubuntu	Nome in codice	Versione pacchetto	Note
26.10	stonking	python3-tornado 6.5.5-5ubuntu1.1	repository standard
26.04 LTS	resolute	python3-tornado 6.5.4-0.1ubuntu0.2	repository standard
24.04 LTS	noble	python3-tornado 6.4.0-1ubuntu0.6	repository standard
22.04 LTS	jammy	python3-tornado 6.1.0-3ubuntu0.1~esm6	richiede Ubuntu Pro (ESM Apps)
20.04 LTS	focal	python3-tornado 6.0.3+really5.1.1-3ubuntu0.1~esm7	richiede Ubuntu Pro (ESM Apps)
18.04 LTS	bionic	python3-tornado 4.5.3-1ubuntu0.2+esm4	richiede Ubuntu Pro (ESM Apps)
16.04 LTS	xenial	python3-tornado 4.2.1-1ubuntu3.1+esm4	richiede Ubuntu Pro (Legacy Support)

Su 26.10, 26.04 e 24.04 basta un aggiornamento standard dei pacchetti. Sulle release più vecchie (22.04, 20.04, 18.04, 16.04) la patch è disponibile solo tramite abbonamento Ubuntu Pro, gratuito fino a cinque macchine.