注目★★★★★GitHub Advisory
Tornado 6.5.6、gzip爆弾によるメモリ枯渇の脆弱性を修正
30秒で把握
- 1CVE-2026-49855: Tornado の gzip 展開累積サイズ上限なしでメモリ枯渇の恐れ
- 2Tornado 6.5.6 で修正済み・max_body_size が圧縮・展開両サイズに適用
- 3暫定策は decompress_response=False または CurlAsyncHTTPClient への切替
要約
Tornado の AsyncHTTPClient に、gzip 展開後の累積サイズ上限が存在しない脆弱性 CVE-2026-49855 が確認された。悪意あるサーバへ SimpleAsyncHTTPClient でアクセスした場合、事実上無制限にメモリを消費させられる。HTTPServer はデフォルト設定では影響を受けないが、decompress_request=True を設定している場合は対象となる。Tornado 6.5.6 で修正済みで、max_body_size が圧縮サイズと展開後累積サイズの両方に適用されるようになった。アップグレード前の暫定対策として decompress_response=False の設定か CurlAsyncHTTPClient への切り替えが有効。
あなたへの影響
Tornado を使って外部 HTTP サーバへリクエストを送るサービスでは、SimpleAsyncHTTPClient のデフォルト設定のまま運用しているケースが影響を受ける。
推奨：即時対応が必須ではないが、近日中に 6.5.6 へのアップグレードを計画し、アップグレードまでの間は decompress_response=False を設定するか CurlAsyncHTTPClient に切り替えることで緩和できる。