python Django 已更新，修正了 auth views 模組中發生遠端拒絕服務 (資源耗盡) 的可能性。(bsc#941587、CVE-2015-5963)

使 is_safe_url() 拒絕以控制字元開頭的 URL，以減輕可能透過使用者提供的重新導向 URL 發動的 XSS 攻擊 (bnc#923176、CVE-2015-2317)

- 方法 check_for_test_cookie 已過時，bnc#914706

- 1.5.12 的更新，其中含有多種安全性修正：

+ 已修正動態產生的內嵌迴歸，並允許在管理員欄位中參照欄位

+ 已允許在管理員欄位中參照相關的多對多欄位

+ 已允許內嵌和隱藏的管理員欄位參照

python3 的 1.8 最終最新規格的更新

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Andrey Babak 發現 Django 未正確處理 strip_tags。遠端攻擊者可能利用此問題造成 Django 進入無限迴圈，進而導致拒絕服務。此問題僅影響 Ubuntu 14.04 LTS 和 Ubuntu 14.10。(CVE-2015-2316)

Daniel Chatfield 發現，Django 未正確處理使用者提供的重新導向 URL。遠端攻擊者可能會利用此問題發動跨網站指令碼攻擊。(CVE-2015-2317)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

python-django 已更新至 1.6.11，可修正數個安全性問題與非安全性錯誤。

下列弱點已修正：

- 使 is_safe_url() 拒絕以控制字元開頭的 URL，以減輕可能透過使用者提供的重新導向 URL 發動的 XSS 攻擊 (bnc#923176、CVE-2015-2317)

- 已修正 strip_tags() 中可能發生的無限迴圈 (bnc#923172、CVE-2015-2316)

- 透過底線/破折號合併發生的 WSGI 標頭偽造 (bnc#913053、CVE-2015-0219)

- 減輕可能透過使用者提供的重新導向 URL 發動的 XSS 攻擊

- 針對 ``django.views.static.serve`` 的拒絕服務攻擊 (bnc#913056、CVE-2015-0221)

- ``ModelMultipleChoiceField`` 資料庫拒絕服務 (bnc#913055、CVE-2015-0222)

更新中也含有非安全性錯誤、功能性和穩定性問題的修正。

更新版 python-django 套件可修正安全性弱點：

Jedediah Smith 發現，Django 錯誤處理了 WSGI 標頭中的底線。遠端攻擊者可利用此問題在特定環境中偽造標頭 (CVE-2015-0219)。

Mikko Ohtamaa 發現，Django 錯誤處理使用者提供的重新導向 URL。遠端攻擊者可能會利用此問題發動跨網站指令碼攻擊 (CVE-2015-0220)。

Alex Gaynor 發現，Django 不正確處理 django.views.static.serve() 中的讀取檔案。遠端攻擊者可能會利用此問題造成 Django 消耗資源，進而導致拒絕服務 (CVE-2015-0221)。

Keryn Knight 發現 Django 未正確處理 ModelMultipleChoiceField 的形式遠端攻擊者可能會利用此問題造成大量 SQL 查詢，進而導致資料庫拒絕服務。請注意，此問題只會影響 python-django (CVE-2015-0222)。

在 Django 1.7.6 之前的版本和 1.8b2 之前的 1.8 版中，admin/helpers.py 的 contents 函式中有跨網站指令碼 (XSS) 弱點，會允許遠端攻擊者透過 ModelAdmin.readonly_fields 中的模型屬性，插入任意 web 指令碼或 HTML，\@property 即為一例 (CVE-2015-2241)。

使用特定 Python 版本時，在 1.6.11 之前的 1.6.x 版、1.7.7 之前的 1.7.x 版，以及 1.8c1 之前的 1.8.x 版 Django 中，utils.html.strip_tags 函式會允許遠端攻擊者增加輸入字串的長度，進而造成拒絕服務 (無限迴圈) (CVE-2015-2316)。

在 1.4.20 版之前的 Django、1.5.x 版、1.6.11 版之前的 1.6.x 版、1.7.7 版之前的 1.7.x 版，以及 1.8c1 版之前的 1.8.x 版中，utils.http.is_safe_url 函式未正確驗證 URL，這會讓遠端攻擊者得以透過 URL 中的控制字元，發動跨網站指令碼 (XSS) 攻擊，如 \x08javascript: URL 所示 (CVE-2015-2317)。

Django 專案報告：

為配合我們的安全性版本原則，Django 團隊發佈了多個版本 -- Django 1.4.20、1.6.11、1.7.7 和 1.8c1。
這些版本現在可至 PyPI 和我們的下載頁面取得。這些版本可解決以下詳列的多個安全性問題。我們鼓勵所有 Django 使用者皆盡快升級。Django 主要分支也已更新。

1.4.20 的更新

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Daniel Chatfield 發現，高階 Python Web 開發架構 python-django 未正確處理使用者提供的重新導向 URL。遠端攻擊者可能會利用此瑕疵發動跨網站指令碼攻擊。

在 python-django 中發現一個弱點並已更正：

在 1.4.20 版之前的 Django、1.5.x 版、1.6.11 版之前的 1.6.x 版、1.7.7 版之前的 1.7.x 版，以及 1.8c1 版之前的 1.8.x 版中，utils.http.is_safe_url 函式未正確驗證 URL，這會讓遠端攻擊者得以透過 URL 中的控制字元，發動跨網站指令碼 (XSS) 攻擊，如 \x08javascript: URL 所示 (CVE-2015-2317)。

更新版套件會提供此安全性問題的解決方案。

高階 Python Web 開發架構 Django 中發現數個弱點：

CVE-2015-2317

Daniel Chatfield 發現，高階 Python Web 開發架構 python-django 未正確處理使用者提供的重新導向 URL。遠端攻擊者可能會利用此瑕疵發動跨網站指令碼攻擊。

CVE-2015-5143

Eric Peterson 和 Lin Hua Cheng 發現，每當存取工作階段且要求 Cookie 中有未知的工作階段金鑰時，工作階段存放區中經常會建立新的空白記錄。這會讓遠端攻擊者得以使工作階段儲存區飽合，或造成其他使用者的工作階段記錄遭收回。

CVE-2015-5144

Sjoerd Job Postmus 發現，部分內建驗證器並未正確拒絕輸入值中的新行。這會讓遠端攻擊者得以在電子郵件和 HTTP 回應中插入標頭。

針對舊的穩定發行版本 (squeeze)，這些問題已在 1.2.3-3+squeeze13 版本中修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
86091	openSUSE 安全性更新：python-django (openSUSE-2015-598)	Nessus	SuSE Local Security Checks	2015/9/23	2021/1/19	medium
82967	Fedora 22：python-django-1.8-1.fc22 (2015-5766)	Nessus	Fedora Local Security Checks	2015/4/22	2021/1/11	medium
82023	Ubuntu 14.04 LTS：Django 弱點 (USN-2539-1)	Nessus	Ubuntu Local Security Checks	2015/3/24	2023/10/20	medium
82515	openSUSE 安全性更新：python-Django (openSUSE-2015-281)	Nessus	SuSE Local Security Checks	2015/4/2	2021/1/19	medium
82362	Mandriva Linux 安全性公告：python-django (MDVSA-2015:109)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium
82286	FreeBSD：django -- 多個弱點 (62287f51-d43d-11e4-879c-00e0814cab4e)	Nessus	FreeBSD Local Security Checks	2015/3/27	2021/1/6	medium
84278	Fedora 20 : python-django14-1.4.20-1.fc20 (2015-9604)	Nessus	Fedora Local Security Checks	2015/6/19	2021/1/11	medium
82048	Debian DSA-3204-1：python-django - 安全性更新	Nessus	Debian Local Security Checks	2015/3/25	2021/1/11	medium
82618	Mandriva Linux 安全性公告：python-django (MDVSA-2015:195)	Nessus	Mandriva Local Security Checks	2015/4/7	2021/1/14	medium
84812	Debian DLA-272-1：python-django 安全性更新	Nessus	Debian Local Security Checks	2015/7/17	2021/1/11	high

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

high