Debian DLA-272-1：python-django 安全性更新

high Nessus Plugin ID 84812

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

高階 Python Web 開發架構 Django 中發現數個弱點：

CVE-2015-2317

Daniel Chatfield 發現，高階 Python Web 開發架構 python-django 未正確處理使用者提供的重新導向 URL。遠端攻擊者可能會利用此瑕疵發動跨網站指令碼攻擊。

CVE-2015-5143

Eric Peterson 和 Lin Hua Cheng 發現，每當存取工作階段且要求 Cookie 中有未知的工作階段金鑰時，工作階段存放區中經常會建立新的空白記錄。這會讓遠端攻擊者得以使工作階段儲存區飽合，或造成其他使用者的工作階段記錄遭收回。

CVE-2015-5144

Sjoerd Job Postmus 發現，部分內建驗證器並未正確拒絕輸入值中的新行。這會讓遠端攻擊者得以在電子郵件和 HTTP 回應中插入標頭。

針對舊的穩定發行版本 (squeeze)，這些問題已在 1.2.3-3+squeeze13 版本中修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。