Updated python-django packages fix security vulnerabilities :

Jedediah Smith discovered that Django incorrectly handled underscores in WSGI headers. A remote attacker could possibly use this issue to spoof headers in certain environments (CVE-2015-0219).

Mikko Ohtamaa discovered that Django incorrectly handled user-supplied redirect URLs. A remote attacker could possibly use this issue to perform a cross-site scripting attack (CVE-2015-0220).

Alex Gaynor discovered that Django incorrectly handled reading files in django.views.static.serve(). A remote attacker could possibly use this issue to cause Django to consume resources, resulting in a denial of service (CVE-2015-0221).

Keryn Knight discovered that Django incorrectly handled forms with ModelMultipleChoiceField. A remote attacker could possibly use this issue to cause a large number of SQL queries, resulting in a database denial of service. Note that this issue only affected python-django (CVE-2015-0222).

Cross-site scripting (XSS) vulnerability in the contents function in admin/helpers.py in Django before 1.7.6 and 1.8 before 1.8b2 allows remote attackers to inject arbitrary web script or HTML via a model attribute in ModelAdmin.readonly_fields, as demonstrated by a \@property (CVE-2015-2241).

The utils.html.strip_tags function in Django 1.6.x before 1.6.11, 1.7.x before 1.7.7, and 1.8.x before 1.8c1, when using certain versions of Python, allows remote attackers to cause a denial of service (infinite loop) by increasing the length of the input string (CVE-2015-2316).

The utils.http.is_safe_url function in Django before 1.4.20, 1.5.x, 1.6.x before 1.6.11, 1.7.x before 1.7.7, and 1.8.x before 1.8c1 does not properly validate URLs, which allows remote attackers to conduct cross-site scripting (XSS) attacks via a control character in a URL, as demonstrated by a \x08javascript: URL (CVE-2015-2317).

更新済み python-django パッケージにより、次記のセキュリティ脆弱性が修正されます：

Jedediah Smith 氏は、Django が WSGI ヘッダー内のアンダースコアを間違って処理していることを発見しました。リモートの攻撃者が、この問題を利用して、特定の環境でヘッダーを偽造する可能性があります（CVE-2015-0219）。

Mikko Ohtamaa 氏は、Django がユーザー指定のリダイレクト URL を不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、クロスサイトスクリプティング攻撃を仕掛ける可能性があります（CVE-2015-0220）。

Alex Gaynor 氏は、Django が django.views.static.serve() でファイルの読み取りを不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、 Django にリソースを消費させ、サービス拒否を引き起こす可能性があります（CVE-2015-0221）。

Keryn Knight 氏は、Django が ModelMultipleChoiceField でフォームを不適切に処理することを発見しました。リモートの攻撃者が、この問題を利用することにより、 SQL クエリを大量に発行することで、データベースをサービス拒否にしてしまう可能性があります。注意：この問題の影響を受けるのは、python-django のみです（CVE-2015-0222）。

1.7.6 より前の Django および 1.8b2 より前の 1.8 の Django における admin/helpers.py のコンテンツ機能のクロスサイトスクリプティング（XSS）の脆弱性により、リモート攻撃者が、\@property で示されているように、ModelAdmin.readonly_fields のモデル属性を通して任意の Web スクリプトまたは HTML を注入する可能性があります（CVE-2015-2241）。

特定の Python バージョンを使用する際に、1.6.11 より前の Django 1.6.x、1.7.7 より前の Django 1.7.x、1.8c1 より前の Django 1.8.x の utils.html.strip_tags 関数により、リモートの攻撃者が、入力文字列の長さを大きくして、サービス拒否（無限ループ）を引き起こす可能性があります（CVE-2015-2316）。

1.4.20 より前、1.5.x、1.6.11 より前の 1.6.x、1.7.7 より前の 1.7.x、および 1.8c1 より前の 1.8. x の Django にある utils.http.is_safe_url 関数が適切に URL を検証しないため、\x08javascript で示されているように、URL の制御文字により、リモートの攻撃者が、クロスサイトスクリプティング（XSS）攻撃を仕掛ける可能性があります：(CVE-2015-2317)。

更新版 python-django 套件可修正安全性弱點：

Jedediah Smith 發現，Django 錯誤處理了 WSGI 標頭中的底線。遠端攻擊者可利用此問題在特定環境中偽造標頭 (CVE-2015-0219)。

Mikko Ohtamaa 發現，Django 錯誤處理使用者提供的重新導向 URL。遠端攻擊者可能會利用此問題發動跨網站指令碼攻擊 (CVE-2015-0220)。

Alex Gaynor 發現，Django 不正確處理 django.views.static.serve() 中的讀取檔案。遠端攻擊者可能會利用此問題造成 Django 消耗資源，進而導致拒絕服務 (CVE-2015-0221)。

Keryn Knight 發現 Django 未正確處理 ModelMultipleChoiceField 的形式遠端攻擊者可能會利用此問題造成大量 SQL 查詢，進而導致資料庫拒絕服務。請注意，此問題只會影響 python-django (CVE-2015-0222)。

在 Django 1.7.6 之前的版本和 1.8b2 之前的 1.8 版中，admin/helpers.py 的 contents 函式中有跨網站指令碼 (XSS) 弱點，會允許遠端攻擊者透過 ModelAdmin.readonly_fields 中的模型屬性，插入任意 web 指令碼或 HTML，\@property 即為一例 (CVE-2015-2241)。

使用特定 Python 版本時，在 1.6.11 之前的 1.6.x 版、1.7.7 之前的 1.7.x 版，以及 1.8c1 之前的 1.8.x 版 Django 中，utils.html.strip_tags 函式會允許遠端攻擊者增加輸入字串的長度，進而造成拒絕服務 (無限迴圈) (CVE-2015-2316)。

在 1.4.20 版之前的 Django、1.5.x 版、1.6.11 版之前的 1.6.x 版、1.7.7 版之前的 1.7.x 版，以及 1.8c1 版之前的 1.8.x 版中，utils.http.is_safe_url 函式未正確驗證 URL，這會讓遠端攻擊者得以透過 URL 中的控制字元，發動跨網站指令碼 (XSS) 攻擊，如 \x08javascript: URL 所示 (CVE-2015-2317)。

更新后的 python-django 程序包修复了安全漏洞：

Jedediah Smith 发现 Django 未正确处理 WSGI 标头中的下划线。远程攻击者可能利用此问题在特定环境中欺骗标头 (CVE-2015-0219)。

Mikko Ohtamaa 发现 Django 未正确处理用户提供的重定向 URL。远程攻击者可能利用此问题执行跨站脚本攻击 (CVE-2015-0220)。

Alex Gaynor 发现 Django 未正确处理 django.views.static.serve() 中的文件读取。远程攻击者可能利用此问题导致 Django 消耗资源，从而导致拒绝服务 (CVE-2015-0221)。

Keryn Knight 发现 Django 没有正确处理 ModelMultipleChoiceField 的表单。远程攻击者可能利用此问题生成大量 SQL 查询，从而导致数据库拒绝服务。请注意，此问题只影响 python-django (CVE-2015-0222)。

在低于 1.7.6 的 Django 和低于 1.8b2 的 Django 1.8 中 admin/helpers.py 内 contents 函数的跨站脚本 (XSS) 漏洞允许远程攻击者通过 ModelAdmin.readonly_fields 的 model 属性注入任意 Web 脚本或 HTML，这一点已经由 \@property 证实 (CVE-2015-2241)。

在低于 1.6.11 的 Django 1.6.x、低于 1.7.7 的 Django 1.7.x 和低于 1.8c1 的 Django 1.8.x 中的 utils.html.strip_tags 函数中使用某些版本的 Python 时，允许远程攻击者通过增加输入字符串的长度造成拒绝服务（无限循环）(CVE-2015-2316)。

低于 1.4.20 的 Django、Django 1.5.x、低于 1.6.11 的 Django 1.6.x、低于 1.7.7 的 Django 1.7.x 以及低于 1.8c1 的 Django 1.8.x 中的 utils.http.is_safe_url 函数未正确验证 URL，这允许远程攻击者通过 URL 中的控制字符执行跨站脚本 (XSS) 攻击，这一点已由 \x08javascript: URL 证实 (CVE-2015-2317)。

ID	名稱	產品	系列	已發布	已更新	嚴重性
82362	Mandriva Linux Security Advisory : python-django (MDVSA-2015:109)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium
82362	Mandriva Linux セキュリティアドバイザリ：python-django（MDVSA-2015:109）	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium
82362	Mandriva Linux 安全性公告：python-django (MDVSA-2015:109)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium
82362	Mandriva Linux 安全公告：python-django (MDVSA-2015:109)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium

偵測

搜尋 Plugin

medium

medium

medium

medium