Debian DLA-301-1：python-django 安全性更新

medium Nessus Plugin ID 85656

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

透過填滿工作階段儲存區而在 logout() 檢視中造成拒絕服務的可能性

先前，匿名存取 django.contrib.auth.views.logout 檢視表時可建立工作階段 (前提是該檢視表未像管理員介面一樣以 django.contrib.auth.decorators.login_required 裝飾)。這可能會允許攻擊者藉由傳送重複的要求，輕易地建立許多新工作階段記錄，可能進而填滿工作階段儲存區，或是導致其他使用者的工作階段記錄遭收回。

django.contrib.sessions.middleware.SessionMiddleware 已修改，不會再建立空工作階段記錄。

已為此部分修正指派了 CVE-2015-5963。

此外，contrib.sessions.backends.base.SessionBase.flush() 與 cache_db.SessionStore.flush() 方法已修改，可避免建立新的空工作階段。第三方工作階段後端的維護者應檢查其後端是否存在相同弱點，若存在則應加以修正。

已為此部分修正指派了 CVE-2015-5964。

建議您升級 python-django 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。