CVE-2014-0480、CVE-2014-0481、CVE-2014-0482、CVE-2014-0483 的安全性修正

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

1.4.14 的更新，可修正 CVE-2014-0480、CVE-2014-0481、CVE-2014-0482、CVE-2014-0483

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

最新穩定版本的更新

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此更新解決了一個會產生外部 URL 的 reverse() 問題；
一個涉及檔案上傳的拒絕服務；遠端使用者中介軟體中的一個潛在工作階段劫持問題，以及系統管理介面中的一個資料洩漏問題。

http://www.freexian.com/services/debian-lts.html

CVE-2014-0480

Django 納入 helper 函式 django.core.urlresolvers.reverse，其一般用於從參照產生 URL，並檢視函式或 URL 模式名稱。不過，如果輸入值的開頭是兩條正斜線字元 (//)，reverse() 會產生配置相關的 URL 連結至其他主機，其允許知道如何不安全使用 reverse() 的攻擊者 (常見的情況是，使用者可以控制重新導向的目標)，自由選擇所要產生的網站連結，從而發動網路釣魚及其他攻擊。

為解決此問題，URL 回復現可確保所有 URL 的開頭都不會使用兩條斜線 (//)，並以其 URL 的編碼字元 (%2F) 取代第二條斜線。此方式可確保語意不變，同時可讓 URL 相對於網域而非配置。

CVE-2014-0481

在預設組態中，若 Django 的檔案上傳處理系統存在與現有檔案使用的磁碟路徑和名稱相同的檔案，則會嘗試在檔案名稱結尾處附加底線和一個整數 (就像在磁碟中儲存項目時一樣)，並遞增該整數 (例如：_1、_2 以此類推)，直到不與任何現有的檔案相衝突，如此即可產生新的唯一檔案名稱。

知道這點的攻擊者可惡意利用檔案名稱產生的循序特性，上傳多個共用檔名的小檔案；Django 在為嘗試產生唯一的檔案名稱而處理此情況時，便會產生數量不斷增加的 os.stat() 呼叫。因此，即使上傳項目的數量不多，效能也可能會大幅降低。

為解決此問題，Django 的檔案上傳系統不會再以循序整數名稱做為避免磁碟中檔名衝突的方式，而是改為附加隨機英數字元短字串，避免產生多個重複衝突的檔名。

CVE-2014-0482

Django 提供一個中介軟體 django.contrib.auth.middleware.RemoteUserMiddleware 和一個驗證後端 django.contrib.auth.backends.RemoteUserBackend，其使用 REMOTE_USER 標頭做為驗證用途。

在某些情況下，如果 REMOTE_USER 標頭變更時沒有對應的登出/登入動作，使用此中介軟體和後端會導致某使用者接受其他使用者的工作階段。

為解決此問題，中介軟體現可確保在沒有明確的登出動作時，若有 REMOTE_USER 變更，系統會先強制登出再進行後續登入，然後接受新的 REMOTE_USER。

CVE-2014-0483

Django 的系統管理介面 django.contrib.admin 提供一個可在快顯視窗中，顯示相關物件以供選取的功能。此機制依賴在指定相關待顯示模型的 URL 和查詢字串中，以及透過其實作關係的欄位中放置數個值。此機制會就模型類型層級執行整體權限檢查。

但此機制不會驗證指定的欄位是否確實代表模型之間的關係。
因此，若使用者具有系統管理介面存取權，且對模型結構和適用 URL 有充分瞭解，即可建構能顯示非關係欄位值的快顯檢視，包括應用程式開發人員未預定以此方式揭露的欄位。

為解決此問題，系統管理介面現在除了進行一般權限檢查，還會驗證指定欄位是否確實表示與管理介面中註冊之模型的關係，若有任一條件不符合則提出例外狀況。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Florian Apolloner 發現 Django 未正確處理 URL。遠端攻擊者可利用此問題發動網路釣魚攻擊。
(CVE-2014-0480)

David Wilson 發現 Django 未正確處理檔案名稱產生。遠端攻擊者可利用此問題造成 Django 消耗資源，進而導致拒絕服務。(CVE-2014-0481)

David Greisen 發現 Django 未正確處理 contrib.auth.middleware.RemoteUserMiddleware 中的特定標頭。經驗證的遠端使用者可利用此問題劫持 web 工作階段。
(CVE-2014-0482)

Collin Anderson 發現，Django 未正確檢查欄位是否表示出系統管理介面上的模型之間的關係。經驗證的遠端使用者可利用此問題取得敏感資訊。(CVE-2014-0483)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機受到 GLSA-201412-22 中所述的弱點影響 (Django：多個弱點)

    在 Django 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    遠端攻擊者可能會造成拒絕服務情形、取得敏感資訊或劫持 web 工作階段。
  因應措施：

    目前尚無已知的因應措施。

Django 專案報告：

這些版本可解決一個會產生外部 URL 的 reverse() 問題；一個涉及檔案上傳的拒絕服務問題；遠端使用者中介軟體中的一個潛在工作階段劫持問題；以及系統管理介面中的一個資料洩漏問題。我們鼓勵所有 Django 使用者皆盡快升級。

在高階 Python Web 開發架構 Django 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2014-0480 Florian Apolloner 發現在某些情況下，URL 回復作業可能產生配置相關的 URL，其可未預期地將使用者重新導向至其他主機，從而導致網路釣魚攻擊。

- CVE-2014-0481 David Wilson 報告了一個檔案上傳拒絕服務弱點。在預設組態中處理 Django 檔案上傳時，可能會在上傳重複的檔名時，降級為產生大量「os.stat()」系統呼叫。若遠端攻擊者可上傳檔案，便可造成上傳處置程式效能低落，進而造成其速度變得極為緩慢。

- CVE-2014-0482 David Greisen 發現在某些情況下，如果 REMOTE_USER 標頭變更時沒有對應的登出/登入動作，則使用 RemoteUserMiddleware 中介軟體和 RemoteUserBackend 驗證後端會導致使用者收到其他使用者的工作階段。

- CVE-2014-0483 Collin Anderson 發現，在系統管理員變更表單頁面上，修改查詢字串的 'popup' 和 'to_field' 參數時，可能會揭露任何欄位資料。若使用者具有管理介面存取權，且對模型結構和適用 URL 有充分瞭解，即可建構能顯示非關係欄位值的快顯檢視，包括應用程式開發人員未預定以此方式揭露的欄位。

1.5.9 的更新，可修正 CVE-2014-3473 CVE-2014-3474 CVE-2014-3475

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

更新版 python-django 套件可修正安全性弱點：

這些版本解決了一個會產生外部 URL 的 reverse() 問題 (CVE-2014-0480)；一個涉及檔案上傳的拒絕服務 (CVE-2014-0481)；遠端使用者中介軟體中的一個潛在工作階段劫持問題 (CVE-2014-0482)；以及系統管理介面中的一個資料洩漏問題 (CVE-2014-0483)。

Python Django 已更新，修正了多個安全性問題和錯誤。

openSUSE 12.3 上 1.4.15 版的更新：

+ 防止 reverse() 產生指向其他主機的 URL，可避免網路釣魚攻擊 (bnc#893087、CVE-2014-0480)

+ 將上傳重複檔案名稱時的 O(n) 演算法移除，可修正檔案上傳拒絕服務 (bnc#893088、CVE-2014-0481)

+ 將 RemoteUserMiddleware 修改為 REMOTE_USE 變更時即登出，防止工作階段劫持攻擊 (bnc#893089、CVE-2014-0482)

+ 防止透過查詢字串操控而導致 contrib.admin 中的資料洩漏 (bnc#893090、CVE-2014-0483)

+ 修正：可能不正確地允許快取儲存和提供私人資料 (bnc#877993、CVE-2014-1418)

+ 修正：未正確驗證使用者輸入的格式錯誤重新導向 URL (bnc#878641、CVE-2014-3730)

+ 修正因類型選擇而可能使 MySQL 傳回非預期結果的查詢 (bnc#874956、CVE-2014-0474)

+ 防止透過快取而洩漏 CSRF token (bnc#874955、CVE-2014-0473)

+ 修正 URL 回復中的一個遠端程式碼執行弱點 (bnc#874950、CVE-2014-0472)

openSUSE 13.1 上 1.5.10 版的更新：

+ 防止 reverse() 產生指向其他主機的 URL，可避免網路釣魚攻擊 (bnc#893087、CVE-2014-0480)

+ 將上傳重複檔案名稱時的 O(n) 演算法移除，可修正檔案上傳拒絕服務 (bnc#893088、CVE-2014-0481)

+ 將 RemoteUserMiddleware 修改為 REMOTE_USE 變更時即登出，防止工作階段劫持攻擊 (bnc#893089、CVE-2014-0482)

+ 防止透過查詢字串操控而導致 contrib.admin 中的資料洩漏 (bnc#893090、CVE-2014-0483)

- 1.5.8 版本的更新：

+ 修正：可能不正確地允許快取儲存和提供私人資料 (bnc#877993、CVE-2014-1418)

+ 修正：未正確驗證使用者輸入的格式錯誤重新導向 URL (bnc#878641、CVE-2014-3730)

+ 修正因類型選擇而可能使 MySQL 傳回非預期結果的查詢 (bnc#874956、CVE-2014-0474)

+ 防止透過快取而洩漏 CSRF token (bnc#874955、CVE-2014-0473)

+ 修正 URL 回復中的一個遠端程式碼執行弱點 (bnc#874950、CVE-2014-0472)

ID	名稱	產品	系列	已發布	已更新	嚴重性
77614	Fedora 20 : python-django15-1.5.9-1.fc20 (2014-9866)	Nessus	Fedora Local Security Checks	2014/9/11	2021/1/11	medium
77591	Fedora 20 : python-django14-1.4.14-1.fc20 (2014-9788)	Nessus	Fedora Local Security Checks	2014/9/10	2021/1/11	medium
79646	Fedora 19 : python-django14-1.4.16-1.fc19 (2014-15307)	Nessus	Fedora Local Security Checks	2014/12/2	2021/1/11	medium
82210	Debian DLA-65-1：python-django 安全性更新	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	medium
77725	Ubuntu 14.04 LTS：Django 弱點 (USN-2347-1)	Nessus	Ubuntu Local Security Checks	2014/9/17	2023/10/20	medium
77590	Fedora 20：python-django-1.6.6-1.fc20 (2014-9771)	Nessus	Fedora Local Security Checks	2014/9/10	2021/1/11	medium
79645	Fedora 20 : python-django14-1.4.16-1.fc20 (2014-15266)	Nessus	Fedora Local Security Checks	2014/12/2	2021/1/11	medium
79975	GLSA-201412-22 : Django：多個弱點	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	medium
77315	FreeBSD：django -- 多個弱點 (3c5579f7-294a-11e4-99f6-00e0814cab4e)	Nessus	FreeBSD Local Security Checks	2014/8/22	2021/1/6	medium
77344	Debian DSA-3010-1：python-django - 安全性更新	Nessus	Debian Local Security Checks	2014/8/23	2021/1/11	medium
77592	Fedora 19：python-django-1.5.9-1.fc19 (2014-9791)	Nessus	Fedora Local Security Checks	2014/9/10	2021/1/11	medium
77658	Mandriva Linux 安全性公告：python-django (MDVSA-2014:179)	Nessus	Mandriva Local Security Checks	2014/9/12	2021/1/6	medium
77718	openSUSE 安全性更新：python-django (openSUSE-SU-2014:1132-1)	Nessus	SuSE Local Security Checks	2014/9/17	2021/1/19	critical

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

critical