Django Release notes :

CVE-2020-24583: Incorrect permissions on intermediate-level directories on Python 3.7+

On Python 3.7+, FILE_UPLOAD_DIRECTORY_PERMISSIONS mode was not applied to intermediate-level directories created in the process of uploading files and to intermediate-level collected static directories when using the collectstatic management command.

CVE-2020-24584: Permission escalation in intermediate-level directories of the file system cache on Python 3.7+

On Python 3.7+, the intermediate-level directories of the file system cache had the system's standard umask rather than 0o077 (no group or others permissions).

update to 3.0.10, fixes CVE-2020-24583, CVE-2020-24584

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Djangoリリースノート: 

CVE-2020-24583:  Python 3.7+の中間レベルのディレクトリに対する不適切な権限

Python 3.7+で、collectstatic管理コマンドを使用するときに、FILE_UPLOAD_DIRECTORY_PERMISSIONSモードが、ファイルのアップロードプロセスで作成された中間レベルのディレクトリ、および収集された中間レベルの静的ディレクトリに適用されませんでした。

CVE-2020-24584:  Python 3.7+のファイルシステムキャッシュの中間レベルディレクトリでの権限昇格

Python 3.7+で、ファイルシステムキャッシュの中間レベルのディレクトリに0o077ではなくシステムの標準umaskがありました（グループやその他の権限なし）。

3.0.10への更新、CVE-2020-24583、CVE-2020-24584を修正します

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

It was discovered that Django, when used with Python 3.7 or higher, incorrectly handled directory permissions. A local attacker could possibly use this issue to obtain sensitive information, or escalate permissions.

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

update to 2.2.16, CVE-2020-24583, CVE-2020-24584

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Debian 10 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3164 advisory.

  - An issue was discovered in Django 2.2 before 2.2.16, 3.0 before 3.0.10, and 3.1 before 3.1.1 (when Python     3.7+ is used). FILE_UPLOAD_DIRECTORY_PERMISSIONS mode was not applied to intermediate-level directories     created in the process of uploading files. It was also not applied to intermediate-level collected static     directories when using the collectstatic management command. (CVE-2020-24583)

  - An issue was discovered in Django 2.2 before 2.2.16, 3.0 before 3.0.10, and 3.1 before 3.1.1 (when Python     3.7+ is used). The intermediate-level directories of the filesystem cache had the system's standard umask     rather than 0o077. (CVE-2020-24584)

  - The package python/cpython from 0 and before 3.6.13, from 3.7.0 and before 3.7.10, from 3.8.0 and before     3.8.8, from 3.9.0 and before 3.9.2 are vulnerable to Web Cache Poisoning via urllib.parse.parse_qsl and     urllib.parse.parse_qs by using a vector called parameter cloaking. When the attacker can separate query     parameters using a semicolon (;), they can cause a difference in the interpretation of the request between     the proxy (running with default configuration) and the server. This can result in malicious requests being     cached as completely safe ones, as the proxy would usually not see the semicolon as a separator, and     therefore would not include it in a cache key of an unkeyed parameter. (CVE-2021-23336)

  - In Django 2.2 before 2.2.18, 3.0 before 3.0.12, and 3.1 before 3.1.6, the django.utils.archive.extract     method (used by startapp --template and startproject --template) allows directory traversal via an     archive with absolute paths or relative paths with dot segments. (CVE-2021-3281)

  - An issue was discovered in Django 3.2 before 3.2.14 and 4.0 before 4.0.6. The Trunc() and Extract()     database functions are subject to SQL injection if untrusted data is used as a kind/lookup_name value.
    Applications that constrain the lookup name and kind choice to a known safe list are unaffected.
    (CVE-2022-34265)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

经发现，Django 在与 Python 3.7 或更高版本一起使用时，未正确处理目录权限。本地攻击者可能利用此问题获取敏感信息或升级权限。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

远程 Debian 10 主机上安装的程序包受到 dla-3164 公告中提及的多个漏洞影响。

  - 在使用版本不低于 3.7 的 Python 的情况下，在 2.2.16 版之前的 Django 2.2、3.0.10 版之前的 Django 3.0 以及 3.1.1 版之前的 Django 3.1 中发现一个问题。未在创建于文件上传过程中的中间级目录中应用 FILE_UPLOAD_DIRECTORY_PERMISSIONS 模式。使用 collectstatic 管理命令时，也未在收集自中间级别的静态目录中应用该模式。(CVE-2020-24583)

  - 在使用版本不低于 3.7 的 Python 的情况下，在 2.2.16 版之前的 Django 2.2、3.0.10 版之前的 Django 3.0 以及 3.1.1 版之前的 Django 3.1 中发现一个问题。文件系统缓存的中间级目录使用系统的标准 umask，而不是 0o077。(CVE-2020-24584)

  - 0 到 3.6.13、3.7.0 到 3.7.10、3.8.0 到 3.8.8、3.9.0 到 3.9.2 版本的 python/cpython 程序包容易受到 Web 缓存中毒问题的影响，可使用名为参数隐身的矢量通过 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 来造成此问题。当攻击者可使用分号 (;) 分隔查询参数时，这些参数可导致代理（以默认配置运行）与服务器之间的请求解释出现差异。这可导致恶意请求被缓存为完全安全的请求。这是因为代理通常不会将分号视为分隔符，所以不会将其包括在未加密参数的缓存密钥中。 (CVE-2021-23336)

  - 在 2.2 之前的 Django 2.2.18、 3.0 之前的 Django 3.0.12 和 3.1.6 之前的 Django 3.1 中，django.utils.archive.extract 方法（由 startapp --template 和 startproject  --template 使用）允许通过具有绝对路径或带点段的相对路径的存档遍历目录。(CVE-2021-3281)

  - 在 3.2.14 版之前的 Django 3.2 和 4.0.6 版之前的 Django 4.0 中发现一个问题。如果不受信任的数据被用作 kind/lookup_name 值，则 Trunc() 和 Extract() 数据库函数会受到 SQL 注入的影响。
    将查找名称和种类限制为已知安全列表的应用程序不受影响。
    (CVE-2022-34265)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

據發現，Django 在搭配 Python 3.7 或更新版本使用時，未正確處理目錄權限。本機攻擊者可能會利用此問題來取得敏感資訊或提升權限。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已嘗試在不造成其他問題的前提下，盡可能完成自動清理並將其格式化。

遠端 Debian 10 主機上安裝的多個套件受到 dla-3164 公告中提及的多個弱點影響。

  - 在低於 2.2.16 的 Django 2.2 版、低於 3.0.10 的 Django 3.0 版以及低於 3.1.1 的 Django 3.1 版中發現一個問題 (若使用 Python 3.7+)。FILE_UPLOAD_DIRECTORY_PERMISSIONS 模式並未套用至在處理上傳檔案期間建立的中繼層級目錄。使用 collectstatic 管理命令時，它也未套用至中繼層級收集的靜態目錄。(CVE-2020-24583)

  - 在低於 2.2.16 的 Django 2.2 版、低於 3.0.10 的 Django 3.0 版以及低於 3.1.1 的 Django 3.1 版中發現一個問題 (若使用 Python 3.7+)。檔案系統快取的中繼層級目錄具有系統的標準 umask，而非 0o077。(CVE-2020-24584)

  - python/cpython 套件 0 至 3.6.13 之前版本、3.7.0 至 3.7.10 之前版本、3.8.0 至 3.8.8 之前版本、3.9.0 至 3.9.2 之前版本容易受到 Web 快取毒害攻擊，攻擊者可使用一個稱為參數偽裝的向量透過 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 發動攻擊。當攻擊者可使用分號 (;) 分隔查詢參數時，可造成 Proxy (以預設組態執行) 和伺服器之間的要求解譯不同。這可導致將惡意要求快取為完全安全的要求，因為 Proxy 通常不會將分號視為分隔符號，因此不會將其包含在無索引鍵參數的快取金鑰中。(CVE-2021-23336)

  - 在低於 2.2.18 的 Django 2.2 版、低於 3.0.12 的 3.0 版和低於 3.1.6 的 3.1 版中，django.utils.archive.extract 方法 (由 startapp --template 和 startproject --template 使用) 允許攻擊者透過具有絕對路徑的封存或具有點區段的相對路徑執行目錄遊走攻擊。(CVE-2021-3281)

  - 在早於 3.2.14 版的 Django 3.2 和早於 4.0.6 版的 Django 4.0 中發現一個問題。如果使用未受信任的資料作爲 kind/lookup_name 的值，則 Trunc() 和 Extract() 資料庫函式容易受到 SQL 注入攻擊。
    將查閱名稱和種類選擇限制為已知安全清單的應用程式不受影響。
    (CVE-2022-34265)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Djangoは、Python 3.7 またはそれ以降で使用されると、ディレクトリ権限を不適切に処理することが判明しました。ローカルの攻撃者がこの問題を悪用して、秘密情報を取得したり、権限を昇格したりする可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

2.2.16、CVE-2020-24583、CVE-2020-24584への更新

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Debian 10 ホストには、dla-3164 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Django 2.2.16 以前の 2.2、3.0.10 以前の 3.0、3.1.1 以前の 3.1 に問題が発見されました (Python 3.7+ を使用する場合)。FILE_UPLOAD_DIRECTORY_PERMISSIONS モードが、ファイルのアップロードプロセスで作成された中間レベルのディレクトリに適用されませんでした。collectstatic 管理コマンドを使用する際に、中間レベルの収集された静的ディレクトリにも適用されませんでした。(CVE-2020-24583)

  - Django 2.2.16 以前の 2.2、3.0.10 以前の 3.0、3.1.1 以前の 3.1 に問題が発見されました (Python 3.7+ を使用する場合)。ファイルシステムキャッシュの中間レベルのディレクトリに 0o077 ではなくシステムの標準 umask がありました。(CVE-2020-24584)

  0～3.6.13、3.7.0～3.7.10、3.8.0～3.8.8、3.9.0～3.9.2のパッケージpython / cpythonは、パラメータークローキングと呼ばれるベクトルを使用したurllib.parse.parse_qslおよびurllibによるWebキャッシュポイズニングに対して脆弱です。攻撃者がセミコロン (;) でクエリパラメーターを区切ることができる場合、プロキシ (デフォルトの構成で実行) とサーバーの間でリクエストの解釈に違いを引き起こすことができる可能性があります。これにより、悪意のあるリクエストが完全に安全なものとしてキャッシュされる可能性があります。これは、プロキシは通常、セミコロンを区切り文字として認識しないため、キーのないパラメーターのキャッシュキーにセミコロンを含めないためです。 (CVE-2021-23336)

  - Django 2.2.18 より前の 2.2、3.0.12 より前の 3.0、および 3.1.6 より前の 3.1 で、django.utils.archive.extract メソッド (startapp --template および startproject --template により使用) により、絶対パスまたはドットセグメントのある相対パスのアーカイブを介したディレクトリトラバーサルが可能になります。(CVE-2021-3281)

  - Django 3.2.14 以前の 3.2、4.0.6 以前の 4.0 に問題が発見されました。信頼できないデータが kind/lookup_name の値として使用されている場合、Trunc() および Extract() データベース関数は SQL インジェクションの影響を受けます。
    検索名と種類の選択を既知のセーフリストに制限するアプリケーションは影響を受けません。
    (CVE-2022-34265)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名稱	產品	系列	已發布	已更新	嚴重性
140310	FreeBSD : Django -- multiple vulnerabilities (002432c8-ef6a-11ea-ba8f-08002728f74c)	Nessus	FreeBSD Local Security Checks	2020/9/8	2024/2/21	high
140551	Fedora 32 : python-django (2020-94407454d7)	Nessus	Fedora Local Security Checks	2020/9/14	2024/2/20	high
140310	FreeBSD：Django -- 複数の脆弱性（002432c8-ef6a-11ea-ba8f-08002728f74c）	Nessus	FreeBSD Local Security Checks	2020/9/8	2024/2/21	high
140551	Fedora 32：python-django（2020-94407454d7）	Nessus	Fedora Local Security Checks	2020/9/14	2024/2/20	high
140177	Ubuntu 20.04 LTS : Django vulnerabilities (USN-4479-1)	Nessus	Ubuntu Local Security Checks	2020/9/2	2023/10/20	high
140549	Fedora 31 : python-django (2020-6941c0a65b)	Nessus	Fedora Local Security Checks	2020/9/14	2024/2/20	high
166698	Debian DLA-3164-1 : python-django - LTS security update	Nessus	Debian Local Security Checks	2022/10/28	2023/10/6	critical
140177	Ubuntu 20.04 LTS：Django 漏洞 (USN-4479-1)	Nessus	Ubuntu Local Security Checks	2020/9/2	2023/10/20	high
166698	Debian DLA-3164-1：python-django - LTS 安全更新	Nessus	Debian Local Security Checks	2022/10/28	2023/10/6	critical
140177	Ubuntu 20.04 LTS：Django 弱點 (USN-4479-1)	Nessus	Ubuntu Local Security Checks	2020/9/2	2023/10/20	high
166698	Debian DLA-3164-1：python-django - LTS 安全性更新	Nessus	Debian Local Security Checks	2022/10/28	2023/10/6	critical
140177	Ubuntu 20.04 LTS : Django の脆弱性 (USN-4479-1)	Nessus	Ubuntu Local Security Checks	2020/9/2	2023/10/20	high
140549	Fedora 31：python-django（2020-6941c0a65b）	Nessus	Fedora Local Security Checks	2020/9/14	2024/2/20	high
166698	Debian DLA-3164-1: python-django - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/10/28	2023/10/6	critical

偵測

搜尋 Plugin

high

high

high

high

high

high

critical

high

critical

high

critical

high

high

critical