據發現，當透過 HTTPS 連線反向 proxy 時，Django Python 網頁開發架構未正確識別 HTTP 連線。當在透過 HTTPS 連線到 Django 的反向 proxy 之後部署時時，django.http.HttpRequest.scheme 會錯誤地將透過 HTTP 發出的用戶端要求偵測為使用 HTTPS。這會導致 is_secure() 和 build_absolute_uri() 的結果不正確，而且 HTTP 要求無法根據 SECURE_SSL_REDIRECT 重新導向至 HTTPS。HttpRequest.scheme 現在會遵守 SECURE_PROXY_SSL_HEADER (如果已設定)，並且在要求中為 HTTP 和 HTTPS 要求設定適當的標頭。如果您將 Django 部署在會轉送 HTTP 要求的反向 proxy 之後，且該 proxy 透過 HTTPS 連線到 Django，請務必確認您的應用程式能正確處理依賴配置、is_secure()、build_absolute_uri() 和 SECURE_SSL_REDIRECT 的程式碼路徑。針對 Debian 8「Jessie」，此問題已在 python-django 的版本 1.7.11-1+deb8u6 中修正。建議您升級 python-django 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-1842-1：python-django 安全性更新

medium Nessus Plugin ID 126390

版本 1.5