Tornadoにおいて、.RequestHandler.set_cookieを介したCookie属性インジェクションの脆弱性

CVE-2026-35536 は、6.5.5 より前のバージョンの Tornado に影響を与え、Web アプリケーションを Cookie 属性インジェクションの脆弱性にさらす可能性があります。この欠陥は、RequestHandler.set_cookie 関数が domain、path、および samesite 引数内の特殊文字を適切に検証しないために発生します。攻撃者はこれらの引数を操作して、Cookie に悪意のあるコードを挿入し、ユーザーのブラウザでなりすまし、機密情報の盗難、または任意のコードの実行につながる可能性があります。CVSS の深刻度は 7.2 であり、高いリスクを示しています。検証の欠如により、Cookie の予期される動作を変更し、アプリケーションのセキュリティを損なう可能性のある文字の挿入が可能になります。

Applications built using Tornado, particularly those handling sensitive user data or financial transactions, are at risk. Web applications relying heavily on cookies for authentication and session management are especially vulnerable. Development teams using older versions of Tornado (≤6.5b1) should prioritize upgrading to the patched version.

• python / server:

import re
# Check for suspicious characters in cookie attributes
log_pattern = re.compile(r'Cookie: .*?(?:domain=[^\s;]+|path=[^\s;]+|samesite=[^\s;]+).*?[\x00-\x1F]')
# Analyze server logs for matches

• generic web:

curl -I 'http://your-tornado-app.com/' | grep 'Cookie:'

• generic web:

# Check for unusual characters in cookie attributes in access logs
grep -i 'domain=[^;]*[\x00-\x1F][^;]*' /var/log/apache2/access.log

1. 2026-04-03Disclosure

   disclosure

1. 予約済み2026-04-03
2. 公開日2026-04-03
3. 更新日2026-04-15
4. EPSS 更新日2026-04-10

CVE-2026-35536 を軽減するには、Tornado をバージョン 6.5.5 以降にアップグレードしてください。このバージョンには、RequestHandler.setcookie 内の domain、path、および samesite 引数を検証するセキュリティ修正が含まれており、Cookie 属性インジェクションを防ぎます。さらに、アプリケーションコードを調べて、脆弱になる可能性のある setcookie 関数の不正な使用を特定して修正することをお勧めします。入力検証と HttpOnly および Secure などの属性の使用を含む、堅牢な Cookie セキュリティポリシーを実装することで、悪用のリスクを軽減できます。Cookie の操作に関連する疑わしいアクティビティについてアプリケーションログを監視することも重要です。