Mandriva Linux 安全性公告：python-django (MDVSA-2012:143)

medium Nessus Plugin ID 61988

語系：

概要

遠端 Mandriva Linux 主機缺少安全性更新。

說明

在 python-django 中發現多個弱點並已更正：

1.3.2 版之前和 1.4.1 之前的 1.4.x 版 Django 中的 (1) django.http.HttpResponseRedirect 和 (2) django.http.HttpResponsePermanentRedirect 類別未驗證重新導向目標的配置，其可允許遠端攻擊者透過 data: URL 發動跨網站指令碼 (XSS) 攻擊 (CVE-2012-3442)。

在 1.3.2 版之前和 1.4.1 之前的 1.4.x 版 Django 中，表單系統的 django.forms.ImageField 類別在影像驗證期間將影像資料完全解壓縮，其允許遠端攻擊者透過上傳影像檔案，造成拒絕服務 (記憶體消耗) (CVE-2012-3443)。

在 1.3.2 版之前和 1.4.1 之前的 1.4.x 版 Django 中，影像處理功能中的 get_image_dimensions 函式在判斷尺寸的所有嘗試中使用了常數區塊大小，其允許遠端攻擊者透過大型 TIFF 影像，造成拒絕服務 (處理程序或執行緒消耗) (CVE-2012-3444)。

更新版套件已升級至 1.3.3 版，該版本不會受到這些問題的影響。

解決方案

更新受影響的 python-django 套件。

另請參閱

http://www.nessus.org/u?27d596e2

Plugin 詳細資訊

嚴重性: Medium

ID: 61988

檔案名稱: mandriva_MDVSA-2012-143.nasl

版本: 1.7

類型: local

系列: Mandriva Local Security Checks

已發布: 2012/9/6

已更新: 2021/1/6

支援的感應器: Nessus

風險資訊

VPR

風險因素: Low

分數: 3.6

CVSS v2

風險因素: Medium

基本分數: 5

時間分數: 4.1

媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P

弱點資訊

CPE: p-cpe:/a:mandriva:linux:python-django, cpe:/o:mandriva:linux:2011

必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/Mandrake/release, Host/Mandrake/rpm-list

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2012/8/23

參考資訊

CVE: CVE-2012-3442, CVE-2012-3443, CVE-2012-3444

BID: 54742

MDVSA: 2012:143