Debians sikkerhedsbulletin

DSA-3151-1 python-django -- sikkerhedsopdatering

Rapporteret den:
3. feb 2015
Berørte pakker:
python-django
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Debians fejlsporingssystem: Fejl 775375.
I Mitres CVE-ordbog: CVE-2015-0219, CVE-2015-0220, CVE-2015-0221.
Yderligere oplysninger:

Flere sårbarheder blev opdaget i Django, et Python-webudviklingsframework på højt niveau. Projektet Common Vulnerabilities and Exposures har registreret følgende problemer:

  • CVE-2015-0219

    Jedediah Smith rapporterede at WSGI-environ'en i Django ikke skelnede mellem headere indeholdende bindestreger og headere indeholdende understregninger. En fjernangriber kunne udnytte fejlen til at forfalske WSGI-headere.

  • CVE-2015-0220

    Mikko Ohtamaa opdagede at funktionen django.util.http.is_safe_url() i Django ikke på korrekt vis håndterede foranstillet whitespace i brugerleverede viderestillings-URL'er. En fjernangriber kunne potentielt udnytte fejlen til at udføre et angrib i forbindelse med udførelse af skripter på tværs af websteder.

  • CVE-2015-0221

    Alex Gaynor rapporterede om en fejl i den måde, Django håndterede læsning af filer i viewet django.views.static.serve(). En fjernangriber kunne muligvis udnytte fejlen til at iværksætte et lammelsesangreb (denial of service) gennem ressourcerforbrug.

I den stabile distribution (wheezy), er disse problemer rettet i version 1.4.5-1+deb7u9.

I den kommende stabile distribution (jessie), er disse problemer rettet i version 1.7.1-1.1.

I den ustabile distribution (sid), er disse problemer rettet i version 1.7.1-1.1.

Vi anbefaler at du opgraderer dine python-django-pakker.