Django Web開発フレームワークに、2つの脆弱性が存在することが判明しました。

  - CVE-2019-14232: django.utils.text.Truncatorでのサービス拒否の可能性を阻止します。

    django.utils.text.Truncatorのchars()およびword()メソッドがhtml=True引数を渡された場合、正規表現の壊滅的なバックトラッキングの脆弱性により、特定の入力の評価に非常に時間がかかりました。chars()メソッドおよびwords()メソッドは、truncatechars_htmlおよびtruncatewords_htmlテンプレートフィルターを実装するために使用されるため、脆弱性がありました。

    潜在的なバックトラックの問題を回避するために、Truncatorが使用する正規表現が簡素化されました。その結果、切り捨てられる出力に時折末尾の句読点が含まれるようになる可能性があります。

  - CVE-2019-14233: strip_tags()でのサービス拒否の可能性を阻止します。

    基礎となるHTMLParserの動作のために、django.utils.html.strip_tags()が、ネスト化された不完全なHTMLエンティティの大きなシーケンスを含む特定の入力を評価するのに非常に時間がかかります。strip_tags()メソッドは、対応するstriptagsテンプレートフィルタを実装するために使用されますが、これも脆弱でした。

    strip_tags()は、タグの削除が進行しているものの、不完全なHTMLエンティティが必ずしも停止していない時にHTMLParserの再帰呼び出しを回避するようになりました。

    strip_tags()がHTMLで安全であるという結果は、まったく保証されていません。したがって、たとえばdjango.utils.html.escape()のように、最初にエスケープせずにstrip_tags()呼び出しの結果を決して安全とマークしないようにします。

Debian 8「Jessie」では、これらはpython-djangoバージョン1.7.11-1+deb8u7で修正されました。

python-djangoパッケージをアップグレードすることを推奨します。詳細については、アップストリームの発表を参照してください:

https://www.djangoproject.com/weblog/2019/aug/01/security-releases/

これらの問題の処理について、Cartlon Gibson氏に謝意を表します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

DebianDLA-1872-1: python-djangoのセキュリティ更新プログラム

high Nessus プラグイン ID 127481

変更ログが見つかりません