在高階 Python web 開發架構 Django 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2012-4520 James Kettle 發現，處理特定要求時 Django 未正確篩選 HTTP Host 標頭。攻擊者可加以惡意利用，產生並造成部分 Django (尤其是密碼重設機制) 向使用者顯示任意 URL。

- CVE-2013-0305 Orange Tsai 發現，Django 隨附的系統管理介面可透過其歷程記錄洩漏本應隱藏的資訊。

- CVE-2013-0306 Mozilla 發現，攻擊者可濫用 Django 表單集中的表單數量追蹤功能，因過量記憶體消耗而造成拒絕服務攻擊。

- CVE-2013-1665 Michael Koziarski 發現，Django 的 XML 還原序列化作業容易遭受實體擴充和外部實體/DTD 攻擊。

python-django 已更新至 1.4.5 版，可修正多種安全性問題和錯誤。

1.4.5 的更新：

- 安全性版本。

- 修正 bnc#807175 / bnc#787521 / CVE-2012-4520 / CVE-2013-0305 / CVE-2013-0306 和 CVE-2013-1665。

- 1.4.3 的更新：

- 安全性版本：

- 主機標頭破壞

- 重新導向破壞

- 請查看版本資訊瞭解詳情：
 https://www.djangoproject.com/weblog/2012/dec/10/security

- 新增 /usr/bin/django-admin.py 的符號連結至 /usr/bin/django-admin

- 1.4.2 的更新：

- 安全性版本：

- 主機標頭破壞

- 請查看版本資訊瞭解詳情：
 https://www.djangoproject.com/weblog/2012/oct/17/security

- 1.4.1 的更新：

- 安全性版本：

- 驗證檢視中的跨網站指令碼

- 影像驗證中的拒絕服務

- 透過 get_image_dimensions() 引發的拒絕服務

- 請查看版本資訊瞭解詳情：
 https://www.djangoproject.com/weblog/2012/jul/30/security-releases-issued

- 新增修補程式以支援 CSRF_COOKIE_HTTPONLY 組態

更新修正 CVE-2013-0305、CVE-2013-0306

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Django 專案報告：

這些安全性版本可修正四個問題：一個潛在的網路釣魚向量、一個拒絕服務向量、一個資訊洩漏問題和一個 XML 範圍弱點。

- 主機標頭破壞

攻擊者可造成 Django 產生和顯示可連結至任意網域的 URL。這可遭利用而成為網路釣魚攻擊的一部分。
這些版本可藉由引入新設定 ALLOWED_HOSTS 來修正此問題，該設定會指定已知您的網站會加以回應的網域白清單。

重要：依預設，Django 1.3.6 和 1.4.4 將 ALLOWED_HOSTS 設定為允許所有主機。這表示若要確實修正該安全性弱點，您必須在升級後立即自行定義此設定。

- 表單集拒絕服務

攻擊者可濫用 Django 追蹤表單集內表單數量的功能來造成拒絕服務攻擊。已藉由新增預設表單數量上限 1,000 來修正此問題。如有需要，您仍可手動指定更大的 max_num，但是 1,000 應足夠供所有使用者使用。

- XML 攻擊

Django 的序列化架構容易透過 XML 實體擴充和外部參照遭受攻擊；此問題現已修正。然而，若您在應用程式的其他部分剖析任意 XML，建議您研究 defusedxml Python 套件，無論您在何處剖析 XML，其都可解決此問題，不只是透過 Django 的序列化架構。

- 透過系統管理員歷程記錄發生資料洩漏

Django 的系統管理員介面可透過其歷程記錄洩漏本應隱藏的資訊。這個問題已修正。

James Kettle 發現 Django 在處理特定要求時，並未正確篩選 Host HTTP 標頭。攻擊者可惡意利用此瑕疵而產生及顯示任意 URL 給使用者。儘管此問題先前已於 USN-1632-1 中解決，此更新仍針對主機標頭驗證新增了額外的強化措施。此更新也新增 ALLOWED_HOSTS 設定，可用於設定標頭可接受的值清單。(CVE-2012-4520)

Orange Tsai 發現，Django 在系統管理介面中顯示歷程記錄檢視時，並未正確執行權限檢查。系統管理員可利用此瑕疵，無視於預定的權限，檢視任何物件的歷程記錄。(CVE-2013-0305)

據發現，Django 在產生表單集時，並未正確處理大量表單。攻擊者可利用此瑕疵造成 Django 消耗記憶體，進而導致拒絕服務。
(CVE-2013-0306)

據發現，Django 未正確還原序列化 XML。攻擊者可利用此瑕疵，發動實體擴充和外部實體/DTD 攻擊。此更新版修改了 Django 行為，不再允許 DTD、執行實體擴充或擷取外部實體/DTD。(CVE-2013-1664、CVE-2013-1665)。

Django-1.4.4 的更新，安全性修正。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
64898	Debian DSA-2634-1：python-django - 數個弱點	Nessus	Debian Local Security Checks	2013/2/27	2021/1/11	medium
75089	openSUSE 安全性更新：python-django (openSUSE-SU-2013:1203-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
65233	Fedora 17 : Django-1.4.5-1.fc17 (2013-2874)	Nessus	Fedora Local Security Checks	2013/3/13	2021/1/11	medium
64873	FreeBSD：django -- 多個弱點 (21c59f5e-7cc5-11e2-9c11-080027a5ec9a)	Nessus	FreeBSD Local Security Checks	2013/2/25	2021/1/6	medium
65096	Ubuntu 10.04 LTS / 11.10 / 12.04 LTS / 12.10：python-django 弱點 (USN-1757-1)	Nessus	Ubuntu Local Security Checks	2013/3/8	2019/9/19	medium
65232	Fedora 18：python-django-1.4.5-2.fc18 (2013-2843)	Nessus	Fedora Local Security Checks	2013/3/13	2021/1/11	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium