Debian DLA-1842-1：python-django 安全性更新

medium Nessus Plugin ID 126390

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

據發現，當透過 HTTPS 連線反向 proxy 時，Django Python 網頁開發架構未正確識別 HTTP 連線。當在透過 HTTPS 連線到 Django 的反向 proxy 之後部署時時，django.http.HttpRequest.scheme 會錯誤地將透過 HTTP 發出的用戶端要求偵測為使用 HTTPS。這會導致 is_secure() 和 build_absolute_uri() 的結果不正確，而且 HTTP 要求無法根據 SECURE_SSL_REDIRECT 重新導向至 HTTPS。HttpRequest.scheme 現在會遵守 SECURE_PROXY_SSL_HEADER (如果已設定)，並且在要求中為 HTTP 和 HTTPS 要求設定適當的標頭。如果您將 Django 部署在會轉送 HTTP 要求的反向 proxy 之後，且該 proxy 透過 HTTPS 連線到 Django，請務必確認您的應用程式能正確處理依賴配置、is_secure()、build_absolute_uri() 和 SECURE_SSL_REDIRECT 的程式碼路徑。針對 Debian 8「Jessie」，此問題已在 python-django 的版本 1.7.11-1+deb8u6 中修正。建議您升級 python-django 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

解決方案

升級受影響的套件。

另請參閱

https://lists.debian.org/debian-lts-announce/2019/07/msg00001.html

https://packages.debian.org/source/jessie/python-django

Plugin 詳細資訊

嚴重性: Medium

ID: 126390

檔案名稱: debian_DLA-1842.nasl

版本: 1.5

類型: local

代理程式: unix

系列: Debian Local Security Checks

已發布: 2019/7/2

已更新: 2024/5/13

支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus

風險資訊

VPR

風險因素: Low

分數: 3.0

CVSS v2

風險因素: Medium

基本分數: 4.3

時間分數: 3.2

媒介: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N

CVSS 評分資料來源: CVE-2019-12308

CVSS v3

風險因素: Medium

基本分數: 6.1

時間分數: 5.3

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

時間媒介: CVSS:3.0/E:U/RL:O/RC:C

弱點資訊

CPE: p-cpe:/a:debian:debian_linux:python-django-common, p-cpe:/a:debian:debian_linux:python-django, p-cpe:/a:debian:debian_linux:python-django-doc, cpe:/o:debian:debian_linux:8.0, p-cpe:/a:debian:debian_linux:python3-django

必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2019/7/1

弱點發布日期: 2019/6/3

參考資訊

CVE: CVE-2019-12308