Tornado: Denial of Service in CurlAsyncHTTPClient durch unbegrenzten Speicherverbrauch

Zusammenfassung

Tornado-Versionen vor 6.5.9 begrenzen nicht, wie viele Daten CurlAsyncHTTPClient aus einer HTTP-Antwort im Speicher sammelt. Ein böswilliger Server kann eine kleine gzip-komprimierte Antwort senden, die im Speicher auf mehrere Gigabyte expandiert (Decompression Bomb). Der Tornado-Prozess wird danach vom Out-of-Memory-Mechanismus des Betriebssystems beendet. Der Angriff setzt voraus, dass die Anwendung CurlAsyncHTTPClient verwendet und URLs abruft, die ein Angreifer beeinflussen kann. Vertraulichkeit und Integrität sind nicht betroffen.

Betroffen

• Tornado vor 6.5.9 (GHSA nennt Versionen bis einschliesslich 6.5.8)
• Nur Anwendungen, die CurlAsyncHTTPClient konfigurieren, sind betroffen; der Standard-Client SimpleAsyncHTTPClient ist nicht betroffen

Behoben in

• Tornado 6.5.9 (Upstream-Fix-Commit e412435febba4569c552c5c9054f1bf92bd171a9)
• Paketversionen der Distributionen: Unbekannt.

Umgehung

• Anwendung auf den Standard-Client SimpleAsyncHTTPClient umstellen, sofern keine libcurl-spezifischen Funktionen wie eigene Proxy- oder TLS-Optionen benötigt werden. Dies kann Dienste stören, die auf diese Funktionen angewiesen sind.
• Ausgehende HTTP-Client-Anfragen auf vertrauenswürdige Ziele beschränken und das curl-Backend nicht für unvertrauenswürdige Inhalte verwenden.

Ausnutzung

• Öffentlicher Proof of Concept: Ja. Das GHSA-Advisory beschreibt eine durchgängige Reproduktion.
• In freier Wildbahn ausgenutzt: Keine bekannten Meldungen gefunden.
• CISA SSVC: Exploitation 'poc', automatisierbar: ja, technische Auswirkung: teilweise.
• EPSS: 0.00525 (niedrig).

Unsere Empfehlung

• Tornado-Nutzung inventarisieren, einschliesslich transitiver Abhängigkeiten, und die Konfiguration auf CurlAsyncHTTPClient prüfen.
• Falls das curl-Backend verwendet wird, auf Tornado 6.5.9 oder neuer aktualisieren oder auf SimpleAsyncHTTPClient umstellen, sofern keine libcurl-spezifischen Funktionen benötigt werden.
• Paketversionen der Linux-Distribution prüfen (z. B. RHEL, Oracle Linux, AlmaLinux), da die behobenen Versionen dort nicht bestätigt wurden.
• Speicherverbrauch und Neustarts der Anwendung auf Hinweise für Out-of-Memory-Abbrüche überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Tornado GHSA-chx6-46f5-w4vp advisory github.com
• Upstream fix commit e412435 github.com
• Tornado pull request 3719 github.com
• VulnCheck advisory www.vulncheck.com
• Red Hat CVE record CVE-2026-103262 access.redhat.com
• Red Hat errata RHSA-2026:82041 access.redhat.com
• OSV CVE-2026-103262 osv.dev
• SUSE CVE listing (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:22.