CVE-2024-14029

Nome do Software Vulnerável e Versões Afetadas Tornado versões anteriores a 6.4.1

Description O Tornado ignora cabeçalhos Transfer-Encoding: chunked duplicados, o que leva o servidor a tratar as requisições como se não tivessem corpo de mensagem. Consequentemente, o corpo chunked é analisado como uma requisição subsequente. Quando implantado atrás de proxies que encaminham requisições contendo múltiplos cabeçalhos Transfer-Encoding: chunked, essa inconsistência permite o contrabando de requisições HTTP (HTTP request smuggling). Isso pode resultar em bypass de controle de acesso, envenenamento de cache ou dessincronização de conexão.

Recommendations Atualize o Tornado para a versão 6.4.1 ou posterior.