Sikkerhedsoplysninger / 2015 / Sikkerhedsoplysninger -- DSA-3151-1 python-django

Debians sikkerhedsbulletin

DSA-3151-1 python-django -- sikkerhedsopdatering

Rapporteret den:

3. feb 2015

Berørte pakker:

python-django

Sårbar:

Ja

Referencer i sikkerhedsdatabaser:

I Debians fejlsporingssystem: Fejl 775375.
I Mitres CVE-ordbog: CVE-2015-0219, CVE-2015-0220, CVE-2015-0221.

Yderligere oplysninger:

Flere sårbarheder blev opdaget i Django, et Python-webudviklingsframework på højt niveau. Projektet Common Vulnerabilities and Exposures har registreret følgende problemer:

• CVE-2015-0219

  Jedediah Smith rapporterede at WSGI-environ'en i Django ikke skelnede mellem headere indeholdende bindestreger og headere indeholdende understregninger. En fjernangriber kunne udnytte fejlen til at forfalske WSGI-headere.

• CVE-2015-0220

  Mikko Ohtamaa opdagede at funktionen django.util.http.is_safe_url() i Django ikke på korrekt vis håndterede foranstillet whitespace i brugerleverede viderestillings-URL'er. En fjernangriber kunne potentielt udnytte fejlen til at udføre et angrib i forbindelse med udførelse af skripter på tværs af websteder.

• CVE-2015-0221

  Alex Gaynor rapporterede om en fejl i den måde, Django håndterede læsning af filer i viewet django.views.static.serve(). En fjernangriber kunne muligvis udnytte fejlen til at iværksætte et lammelsesangreb (denial of service) gennem ressourcerforbrug.

I den stabile distribution (wheezy), er disse problemer rettet i version 1.4.5-1+deb7u9.

I den kommende stabile distribution (jessie), er disse problemer rettet i version 1.7.1-1.1.

I den ustabile distribution (sid), er disse problemer rettet i version 1.7.1-1.1.

Vi anbefaler at du opgraderer dine python-django-pakker.