據發現，Django (Python 型 Web 開發架構) 中存在一個潛在的帳戶劫持弱點。

Django 的密碼重設表單使用不區分大小寫的查詢，來擷取與要求密碼重設之電子郵件地址相匹配的帳戶。
這通常涉及明確或隱含的大小寫轉換，因此知道與使用者帳戶相關聯之電子郵件地址的攻擊者可利用這一點，建構一個不同於與該帳戶相關聯之地址的電子郵件地址，由於 Unicode 的大小寫轉換行為，建構的地址在大小寫轉換後不再與原地址不同，或在指定資料庫大小寫轉換或排序行為情況下與原地址比較時被視為相同。在這種情況下，攻擊者可以收到使用者帳戶的有效密碼重設 token。

為解決此問題，在 Django 中進行了兩個變更：

  - 在從資料庫擷取可能相符的帳戶清單之後，Django 的密碼重設功能現在也會使用 Unicode 技術報告第 36 號第 2.11.2(B)(2) 節中所推薦的識別碼比對處理程序，在 Python 中檢查電子郵件地址是否完全一致。

  - 產生密碼重設電子郵件後，Django 現在會將其傳送至從資料庫擷取的電子郵件地址，而非在密碼重設要求表單中提交的電子郵件地址。

詳情請參閱：

https://www.djangoproject.com/weblog/2019/dec/18/security-releases/

針對 Debian 8「Jessie」，已在 python-django 的 1.7.11-1+deb8u8 版本中修正此問題。

建議您升級 python-django 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-2042-1：python-django 安全性更新

critical Nessus Plugin ID 132268

版本 1.8