リモートの Debian 10 ホストには、dla-3744 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.2.20より前の2.2、3.0.14より前の3.0、3.1.8より前の3.1の Django において、MultiPartParser により、適切に細工されたファイル名でアップロードされたファイルを介したディレクトリトラバーサルが可能でした。ビルトインアップロードハンドラーは、この脆弱性の影響を受けません。(CVE-2021-28658)

  - 2.2.21より前の2.2、3.1.9より前の3.1、3.2.1より前の3.2の Django において、MultiPartParser、UploadedFile、および FieldFile により、適切に細工されたファイル名でアップロードされたファイルを介したディレクトリトラバーサルが可能でした。
    (CVE-2021-31542)

  - 2.2.24より前の Django、3.1.12 より前の 3.x、および 3.2.4より前の 3.2.xには、django.contrib.admindocs を介した潜在的なディレクトリトラバーサルがあります。スタッフが TemplateDetailView ビューを使用して、任意のファイルの存在をチェックする可能性があります。さらに、デフォルトの admindocs テンプレートがアプリケーション開発者によってカスタマイズされ、ファイルの内容も表示した場合、ファイルの存在だけでなく内容も漏洩しました。言いかえれば、テンプレートルートディレクトリの外にディレクトリトラバーサルがあります。(CVE-2021-33203)

  - Django 2.2の 2.2.24より前、3.1.12 より前の 3.x、および 3.2.4より前の 3.2では、URLValidator、validate_ipv4_address、および validate_ipv46_address は、8 進リテラルの先行ゼロを禁止していません。これにより、IP アドレスに基づくアクセスコントロールがバイパスされる可能性があります。(validate_ipv4_address と validate_ipv46_address は Python 3.9.5+ .. で影響を受けません。) (CVE-2021-33571)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian dla-3744 : python-django - セキュリティ更新

high Nessus プラグイン ID 191437

バージョン 1.0