James Kettle 發現 Django 在處理特定要求時，並未正確篩選 Host HTTP 標頭。攻擊者可惡意利用此瑕疵而產生及顯示任意 URL 給使用者。

在 Django 中發現多個主機標頭位置瑕疵並已修正。

更新版套件已升級至 1.3.5 版，不會受到這些問題的影響。

發出的安全性版本 - 主機標頭破壞

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

James Kettle 發現 Django 在處理特定要求時，並未正確篩選 Host HTTP 標頭。攻擊者可惡意利用此瑕疵而產生及顯示任意 URL 給使用者。儘管此問題先前已於 USN-1632-1 中解決，此更新仍針對主機標頭驗證新增了額外的強化措施。此更新也新增 ALLOWED_HOSTS 設定，可用於設定標頭可接受的值清單。(CVE-2012-4520)

Orange Tsai 發現，Django 在系統管理介面中顯示歷程記錄檢視時，並未正確執行權限檢查。系統管理員可利用此瑕疵，無視於預定的權限，檢視任何物件的歷程記錄。(CVE-2013-0305)

據發現，Django 在產生表單集時，並未正確處理大量表單。攻擊者可利用此瑕疵造成 Django 消耗記憶體，進而導致拒絕服務。
(CVE-2013-0306)

據發現，Django 未正確還原序列化 XML。攻擊者可利用此瑕疵，發動實體擴充和外部實體/DTD 攻擊。此更新版修改了 Django 行為，不再允許 DTD、執行實體擴充或擷取外部實體/DTD。(CVE-2013-1664、CVE-2013-1665)。

在高階 Python web 開發架構 Django 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2012-4520 James Kettle 發現，處理特定要求時 Django 未正確篩選 HTTP Host 標頭。攻擊者可加以惡意利用，產生並造成部分 Django (尤其是密碼重設機制) 向使用者顯示任意 URL。

- CVE-2013-0305 Orange Tsai 發現，Django 隨附的系統管理介面可透過其歷程記錄洩漏本應隱藏的資訊。

- CVE-2013-0306 Mozilla 發現，攻擊者可濫用 Django 表單集中的表單數量追蹤功能，因過量記憶體消耗而造成拒絕服務攻擊。

- CVE-2013-1665 Michael Koziarski 發現，Django 的 XML 還原序列化作業容易遭受實體擴充和外部實體/DTD 攻擊。

Django 專案報告：

- 主機標頭破壞

Django (獨立於終端使用者撰寫的應用程式) 的某些部分
會使用包含網域名稱的完整 URL，其由 HTTP Host 標頭產生。此類型攻擊有一部分超出 Django 的控制能力範圍，因而需要正確設定 Web 伺服器；Django 的文件會有一段時間持續提供建議使用者設定這些組態的備註資訊。

不過，根據最近向我們報告的資訊顯示，Django 的內建 Host 標頭剖析仍然容易遭受入侵。Django 1.3 和 Django 1.4 中的 Host 標頭剖析 (具體而言是 django.http.HttpRequest.get_host()) 未正確處理標頭中的使用者名稱/密碼資訊。因此，Django 在「validsite.com」上執行時，會接受如下所列的 Host 標頭：

Host: validsite.com:random@evilsite.com

攻擊者可利用此弱點，造成部分 Django (特別是密碼重設機制) 產生並向使用者顯示任意 URL。

為解決此問題，已修改 HttpRequest.get_host() 中的剖析功能；可能含有危險內容的 Host 標頭 (例如：使用者名稱/密碼配對) 現在會提出例外狀況 django.core.exceptions.SuspiciousOperation。

- HttpOnly cookie 選項的文件

自 Django 1.4 版起，將一律以 HttpOnly 旗標傳送工作階段 cookie，其會拒絕用戶端對工作階段 cookie 的指令碼存取，可針對跨網站指令碼攻擊提供一些額外防護。

儘管在 Django 中並非直接視為安全性問題，但據報 Django 1.4 文件卻不正確描述此變更，並宣告其現為以 HttpResponse.set_cookie() 方法設定之所有 cookie 的預設值。

Django 文件已更新為反映此僅適用於工作階段 cookie。建議 Django 使用者檢閱其 set_cookie() 的使用方式，確保 HttpOnly 旗標已正確設定或取消設定。

python-django 已更新至 1.4.5 版，可修正多種安全性問題和錯誤。

1.4.5 的更新：

- 安全性版本。

- 修正 bnc#807175 / bnc#787521 / CVE-2012-4520 / CVE-2013-0305 / CVE-2013-0306 和 CVE-2013-1665。

- 1.4.3 的更新：

- 安全性版本：

- 主機標頭破壞

- 重新導向破壞

- 請查看版本資訊瞭解詳情：
 https://www.djangoproject.com/weblog/2012/dec/10/security

- 新增 /usr/bin/django-admin.py 的符號連結至 /usr/bin/django-admin

- 1.4.2 的更新：

- 安全性版本：

- 主機標頭破壞

- 請查看版本資訊瞭解詳情：
 https://www.djangoproject.com/weblog/2012/oct/17/security

- 1.4.1 的更新：

- 安全性版本：

- 驗證檢視中的跨網站指令碼

- 影像驗證中的拒絕服務

- 透過 get_image_dimensions() 引發的拒絕服務

- 請查看版本資訊瞭解詳情：
 https://www.djangoproject.com/weblog/2012/jul/30/security-releases-issued

- 新增修補程式以支援 CSRF_COOKIE_HTTPONLY 組態

ID	名稱	產品	系列	已發布	已更新	嚴重性
62937	Ubuntu 10.04 LTS / 11.10 / 12.04 LTS / 12.10：python-django 弱點 (USN-1632-1)	Nessus	Ubuntu Local Security Checks	2012/11/16	2019/9/19	medium
63312	Mandriva Linux 安全性公告：python-django (MDVSA-2012:181)	Nessus	Mandriva Local Security Checks	2012/12/20	2021/1/6	medium
62673	Fedora 18：python-django-1.4.2-1.fc18 (2012-16406)	Nessus	Fedora Local Security Checks	2012/10/24	2021/1/11	medium
65096	Ubuntu 10.04 LTS / 11.10 / 12.04 LTS / 12.10：python-django 弱點 (USN-1757-1)	Nessus	Ubuntu Local Security Checks	2013/3/8	2019/9/19	medium
64898	Debian DSA-2634-1：python-django - 數個弱點	Nessus	Debian Local Security Checks	2013/2/27	2021/1/11	medium
62750	Fedora 16 : Django-1.3.4-1.fc16 (2012-16417)	Nessus	Fedora Local Security Checks	2012/10/30	2021/1/11	medium
62705	FreeBSD：django -- 多個弱點 (5f326d75-1db9-11e2-bc8f-d0df9acfd7e5)	Nessus	FreeBSD Local Security Checks	2012/10/26	2021/1/6	medium
62765	Fedora 17 : Django-1.4.2-1.fc17 (2012-16440)	Nessus	Fedora Local Security Checks	2012/10/31	2021/1/11	medium
75089	openSUSE 安全性更新：python-django (openSUSE-SU-2013:1203-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium