Debians sikkerhedsbulletin
DSA-3151-1 python-django -- sikkerhedsopdatering
- Rapporteret den:
- 3. feb 2015
- Berørte pakker:
- python-django
- Sårbar:
- Ja
- Referencer i sikkerhedsdatabaser:
- I Debians fejlsporingssystem: Fejl 775375.
I Mitres CVE-ordbog: CVE-2015-0219, CVE-2015-0220, CVE-2015-0221. - Yderligere oplysninger:
-
Flere sårbarheder blev opdaget i Django, et Python-webudviklingsframework på højt niveau. Projektet Common Vulnerabilities and Exposures har registreret følgende problemer:
- CVE-2015-0219
Jedediah Smith rapporterede at WSGI-environ'en i Django ikke skelnede mellem headere indeholdende bindestreger og headere indeholdende understregninger. En fjernangriber kunne udnytte fejlen til at forfalske WSGI-headere.
- CVE-2015-0220
Mikko Ohtamaa opdagede at funktionen django.util.http.is_safe_url() i Django ikke på korrekt vis håndterede foranstillet whitespace i brugerleverede viderestillings-URL'er. En fjernangriber kunne potentielt udnytte fejlen til at udføre et angrib i forbindelse med udførelse af skripter på tværs af websteder.
- CVE-2015-0221
Alex Gaynor rapporterede om en fejl i den måde, Django håndterede læsning af filer i viewet django.views.static.serve(). En fjernangriber kunne muligvis udnytte fejlen til at iværksætte et lammelsesangreb (denial of service) gennem ressourcerforbrug.
I den stabile distribution (wheezy), er disse problemer rettet i version 1.4.5-1+deb7u9.
I den kommende stabile distribution (jessie), er disse problemer rettet i version 1.7.1-1.1.
I den ustabile distribution (sid), er disse problemer rettet i version 1.7.1-1.1.
Vi anbefaler at du opgraderer dine python-django-pakker.
- CVE-2015-0219