修正 1.8.10 中的迴歸問題 ---- 1.8.10 的更新，可修正 CVE-2016-2512、CVE-2016-2513

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2016:0505 公告中提及的多個弱點影響。

    Django 是高階 Python Web 架構，可用於加快開發速度並實現簡潔、實用的設計。此架構著重於盡可能自動化並遵守 DRY (Don't repeat Yourself) 原則。

    安全性修正：

    * 在 Django 的 django.utils.http.is_safe_url() 函式篩選驗證 URL 的方式中，發現一個開放式重新導向缺陷。能夠誘騙受害者瀏覽特製 URL 的攻擊者可利用此缺陷，將該受害者重新導向至惡意網站。(CVE-2016-2512)

    * 在 Django 的 PBKDF2PasswordHasher 執行密碼雜湊的方式中，發現一個定時攻擊缺陷。
    使用舊版 PBKDF2PasswordHasher 雜湊的密碼使用較少的雜湊反覆運算，因此允許攻擊者根據登入要求中的時間差異，列舉現有的使用者。
    (CVE-2016-2513)

    Red Hat 感謝 Django 專案報告這些問題。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在高階 Python Web 開發架構 Django 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2016-2512 Mark Striemer 發現某些由使用者所提供、包含基本驗證認證的重新導向 URL，並未被正確處理，可能會允許遠端攻擊者執行惡意重新導向，或跨網站指令碼攻擊。

- CVE-2016-2513 Sjoerd Job Postmus 發現 Django 會允許使用者透過密碼 hasher 工作因素升級的時間差進行列舉。

Tim Graham 報告：

透過使用者提供且含有基本驗證的重新導向 URL，可造成惡意重新導向和潛在的 XSS 攻擊

使用者透過密碼 hasher 工作因素升級的時間差進行列舉

Mark Striemer 發現，Django 未正確處理包含基本驗證認證之使用者提供的重新導向 URL。遠端攻擊者可能利用此問題發動跨網站指令碼攻擊或惡意重新導向。(CVE-2016-2512)

Sjoerd Job Postmus 發現，在執行密碼雜湊作業時，Django 未正確處理定時。遠端攻擊者可能利用此問題執行使用者列舉。(CVE-2016-2513)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
90015	Fedora 22：python-django-1.8.11-1.fc22 (2016-b004d6d8f7)	Nessus	Fedora Local Security Checks	2016/3/18	2021/1/11	high
210163	RHEL 7：python-django (RHSA-2016:0505)	Nessus	Red Hat Local Security Checks	2024/11/4	2025/4/15	medium
90409	Debian DSA-3544-1：python-django - 安全性更新	Nessus	Debian Local Security Checks	2016/4/8	2021/1/11	high
89728	FreeBSD：django -- 多個弱點 (f9e6c0d1-e4cc-11e5-b2bd-002590263bf5)	Nessus	FreeBSD Local Security Checks	2016/3/8	2021/1/4	high
89079	Ubuntu 14.04 LTS：Django 弱點 (USN-2915-1)	Nessus	Ubuntu Local Security Checks	2016/3/2	2024/8/27	high
90012	Fedora 23：python-django-1.8.11-1.fc23 (2016-11183ea08d)	Nessus	Fedora Local Security Checks	2016/3/18	2021/1/11	high

偵測

搜尋 Plugin

high

medium

high

high

high

high