Debian dla-4210python-django-doc - 安全性更新

high Nessus Plugin ID 238025

語言:

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4210 公告中所提及。

- ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4210-1 [email protected] https://www.debian.org/lts/security/Chris Lamb 2025 年 6 月 9 日 https://wiki.debian.org/LTS
- -------------------------------------------------------------------------

套件 python-django 版本 2:2.2.28-1~deb11u7 CVE ID CVE-2025-48432 CVE-2025-32873 CVE-2023-41164 CVE-2023-43665 CVE-2024-24680 CVE-2024-27351 Debian 錯誤 1107282 1104872 1051226

在受歡迎的 Python 型 web 開發架構 Django 中發現數個弱點

* CVE-2025-48432可能透過未逸出的要求路徑插入記錄。

Django 的內部 HTTP 回應記錄直接使用 request.path進而允許控製字元 (例如新行或 ANSI 逸出序列) 以未逸出的方式寫入記錄中。這可導致記錄插入或偽造進而讓攻擊者操控記錄外觀或結構特別是在由外部系統處理或在終端機中檢視的記錄中。
(解決 #1107282)

* CVE-2025-32873strip_tags() 中可能存在拒絕服務

django.utils.html.strip_tags() 在評估含有大量大型不完整 HTML 標籤序列的特定輸入時會變慢。此函式用於實作 striptags 範本篩選器因此也容易遭受攻擊。 strip_tags() 現在如果遇到數量異常大的未封閉開始標籤會引發 SuspiciousOperation 例外狀況。
(解決 #1104872)

* CVE-2023-41164django.utils.encoding.uri_to_iri() 中有潛在的拒絕服務弱點。透過含有大量 Unicode 字元的特定輸入此方法可能會遭受拒絕服務攻擊。(解決 #1051226)

* CVE-2023-43665解決 django.utils.text.Truncator 中可能發生的拒絕服務。

CVE-2019-14232修正之後修正並改善了 django.utils.text.Truncator??s chars() 和 words() 方法 (使用 html=True) 實作中使用的規則運算式。不過這些規則運算式仍然呈現線性回溯複雜性因此當給予非常長且可能格式錯誤的 HTML 輸入時評估仍然會很慢進而導致潛在的拒絕服務弱點。使用 chars() 和 words() 方法來實作 truncatechars_html 和 truncatewords_html 範本篩選器導致它們也容易遭受攻擊。Truncator 處理的輸入 (在 HTML 模式下運作時) 僅限使用前 500 萬字元以避免潛在的效能和記憶體問題。

* CVE-2024-24680intcomma 範本篩選器中可能發生拒絕服務。與極長的字串搭配使用時intcomma 範本篩選器可能會遭受拒絕服務攻擊。

* CVE-2024-27351修正 django.utils.text.Truncator.words 中的潛在規則運算式拒絕服務 (ReDoS) 攻擊。此方法 (html=True) 和 truncatewords_html 範本篩選器會透過特製的字串容易遭受潛在的規則運算式拒絕服務攻擊。這部分是 CVE-2019-14232 和 CVE-2023-43665的後續行動。

針對 Debian 11 Bullseye這些問題已在版本 2:2.2.28-1~deb11u7 中修正。

建議您升級 python-django 套件。

如需有關 python-django 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/python-django

有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。