Tornado: Path Traversal über Symlinks in StaticFileHandler

Zusammenfassung

Tornado vor Version 6.5.9 weist in StaticFileHandler eine Path-Traversal-Schwachstelle auf. Symbolische Links im statischen Verzeichnis werden verfolgt, ohne zu prüfen, ob das Ziel innerhalb dieses Verzeichnisses liegt. Ein nicht authentifizierter Angreifer, der einen solchen Link abrufen kann, kann Dateien lesen, auf die der Prozess-Benutzer von Tornado Zugriff hat, etwa Konfigurationsdateien, private Schlüssel und Anwendungsgeheimnisse. Voraussetzung ist ein Symlink, der aus dem statischen Verzeichnis heraus zeigt, was etwa durch Uploads oder Build- und Deployment-Werkzeuge entstehen kann.

Betroffen

• Tornado-Versionen vor 6.5.9 (betroffener Bereich 0 bis unter 6.5.9)
• Python-Pakete, die Tornado als Abhängigkeit verwenden, zum Beispiel torext 0.10.0, können indirekt betroffen sein

Behoben in

• Tornado 6.5.9 (Fix-Commit 437ab5f76565403b3403438d2e555d11f8128d32)
• Eine neuere Version, 6.5.10, wurde in Drittquellen erwähnt, wurde aber nicht verifiziert
• Distributionspakete (zum Beispiel python-tornado) können noch ungepatcht sein; prüfen Sie den Tracker Ihrer Distribution

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme. Das Upgrade auf 6.5.9 oder neuer ist die Behebung.
• Statische Verzeichnisse auf Symlinks prüfen, die aus dem statischen Stammverzeichnis hinausführen, und nicht benötigte entfernen.
• Die Dateien einschränken, die der Tornado-Prozess-Benutzer lesen kann.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn gefunden. Der Status im CISA-KEV-Katalog wurde nicht verifiziert.
• Die CISA-SSVC-Bewertung führt die Ausnutzung als 'poc' (ein Proof of Concept existiert) und die Automatisierbarkeit als 'no'.
• Das GitHub-Advisory beschreibt eine minimale Reproduktion; für den Angriff genügt eine nicht authentifizierte HTTP-Anfrage.

Unsere Empfehlung

• Prüfen, ob eine intern oder extern erreichbare Tornado-Anwendung ein statisches Verzeichnis ausliefert.
• Tornado auf 6.5.9 oder neuer aktualisieren, vorzugsweise auf die neueste Version, und Python-Lockfiles sowie Container-Images auf indirekte Tornado-Abhängigkeiten prüfen.
• Anwender von Distributionspaketen sollten die Herstellerpatches einspielen oder bei Bedarf über pip aktualisieren.
• Statische Verzeichnisse auf unerwartete Symlinks prüfen und Webserver-Logs auf Anfragen mit ungewöhnlichen statischen Pfaden auswerten.
• Die Dateien einschränken, die der Anwendungsprozess lesen kann.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Tornado fix commit 437ab5f github.com
• GHSA-c2m8-h5v5-343r advisory github.com
• VulnCheck advisory www.vulncheck.com
• OSV CVE-2026-103263 osv.dev
• Ubuntu security notice CVE-2026-103263 ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:38.