BDU:2024-09874

Уязвимость компонента CurlAsyncHTTPClient асинхронной сетевой библиотеки Tornado связана с непринятием мер по нейтрализации последовательностей CRLF. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально созданных HTTP-запросов на сервер

Компенсирующие меры:
- проверка входных данных в HTTP-запросах таких как \r (CR) и \n (LF);
- использование функций кодирования для параметров запросов (headers, cookies, query string);
- использование аналогичных HTTP-клиентов (httpx
и aiohttp);
- использование межсетевого экрана уровня приложений (WAF) для фильтрации пользовательского ввода;

Использование рекомендаций:
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/