Ubuntu corrige regressão no framework web Tornado
Uma atualização de segurança incompleta para o Tornado causou uma regressão crítica afetando o serviço de arquivos estáticos em aplicativos como o Jupyter. Um novo patch resolve tanto as falhas originais quanto os efeitos colaterais não intencionais.
TL;DR
- O Ubuntu lançou a USN-8952-2 para corrigir uma regressão no tratamento de arquivos estáticos do Tornado.
- A atualização anterior tentou resolver múltiplas CVEs, mas introduziu problemas de compatibilidade.
- Aplicativos que utilizam subclasses do StaticFileHandler, como o Jupyter, foram impactados.
- A vulnerabilidade permitia potenciais DoS, exposição de dados ou burla de controle de acesso.
- Organizações devem aplicar o patch mais recente para restaurar funcionalidade e manter a segurança.
O Ubuntu publicou um aviso de segurança complementar, USN-8952-2, para corrigir uma regressão introduzida em uma atualização recente do framework Tornado. O patch inicial tinha como objetivo resolver diversas vulnerabilidades, mas acabou prejudicando o serviço de arquivos estáticos em aplicações baseadas em subclasses do StaticFileHandler do Tornado, incluindo ferramentas populares como o Jupyter.
As falhas subjacentes no Tornado poderiam permitir que atacantes provocassem condições de negação de serviço, vazamento de dados sensíveis ou contornassem restrições de acesso. Embora a primeira correção pretendesse mitigar esses riscos, ela foi incompleta — resultando em quebra funcional que exigiu atenção imediata.
Com o lançamento da USN-8952-2, o Ubuntu garante que sistemas executando versões afetadas possam agora receber uma solução completa sem sacrificar a estabilidade dos aplicativos.
O que deu errado
- A atualização inicial USN-8952-1 tentou resolver seis CVEs no Tornado, mas não concluiu totalmente a correção da CVE-2026-103263.
- Isso levou ao mau funcionamento de aplicativos que dependem de implementações personalizadas do StaticFileHandler.
- Plataformas afetadas incluíram notebooks Jupyter e ambientes interativos similares.
- Usuários relataram falha na entrega de recursos estáticos após a atualização, impactando a usabilidade.
Impacto de segurança e correções
- As vulnerabilidades abrangidas incluem CVE-2023-54397, CVE-2024-14029 e outras relacionadas ao tratamento de requisições.
- A exploração dessas falhas poderia resultar em interrupção de serviços, acesso não autorizado a dados ou escalonamento de privilégios.
- A USN-8952-2 oferece uma correção refinada que restaura a operação segura sem comprometer recursos existentes.
- Recomenda-se que administradores de sistema atualizem imediatamente para evitar exposição ou tempo de inatividade.
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.