Mandriva Linux 安全性公告：python-django (MDVSA-2014:113)

critical Nessus Plugin ID 74446

語系：

概要

遠端 Mandriva Linux 主機缺少安全性更新。

說明

在 python-django 中發現多個弱點並已更正：

Django 1.4.13 之前的 1.4 版、1.5.8 之前的 1.5 版、1.6.5 之前的 1.6 版以及 1.7b4 之前的 1.7 版，未在回應中正確包含 (1) Vary: Cookie 或 (2) Cache-Control 標頭，進而允許遠端攻擊者透過來自特定瀏覽器的要求，取得敏感資訊或損壞快取 (CVE-2014-1418)。

在 Django 1.4.13 之前的 1.4 版、1.5.8 之前的 1.5 版、1.6.5 之前的 1.6 版，以及 1.7b4 之前的 1.7 版中，django.util.http.is_safe_url 函式未正確驗證 URL，這會讓遠端攻擊者得以透過格式錯誤的 URL，發動開放重新導向攻擊，如 http:\djangoproject.com 所示。(CVE-2014-3730)。

在 Django 的 1.4.11 之前、1.5.6 之前的 1.5.x、1.6.3 之前的 1.6.x 及 1.7 beta 2 之前的 1.7.x 版本中，django.core.urlresolvers.reverse 函式允許遠端攻擊者利用使用使用者輸入與點線 Python 路徑建構 URL 的檢視匯入並執行任意 Python 模組。(CVE-2014-0472)。

在 Django 的　1.4.11 之前、1.5.6 之前的 1.5.x、1.6.3 之前的 1.6.x 及 1.7 beta 2 之前的 1.7.x 版本中，快取架構會針對所有匿名使用者重複使用快取的 CSRF token，進而透過讀取匿名使用者的 CSRF cookie 來允許遠端攻擊者繞過 CSRF 保護 (CVE-2014-0473)。

在 Django 的　1.4.11 之前、1.5.6 之前的 1.5.x、1.6.3 之前的 1.6.x 及 1.7 beta 2 之前的 1.7.x 版本中，(1) FilePathField、(2) GenericIPAddressField 與 (3) IPAddressField 模型欄位類別未正確執行類型轉換，而允許遠端攻擊者造成不明影響與向量，這與 MySQL 類型選擇有關。
(CVE-2014-0474)。

已修補更新版套件，以更正這些問題。