リモートのDebian 11ホストには、dla-4425アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian LTS アドバイザリ DLA-4425-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris 2025 年 12 月 29 日の Lamb https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ python-django バージョン 2:2.2.28-1~deb11u10 CVE ID CVE-2025-64459 CVE-2025-64460 Debian バグ 1121788

    Python ベースの Web 開発フレームワークである Django に 2 つの問題があることが発見されました。

     * CVE-2025-64459QuerySet/Q オブジェクトの _connector キーワード引数を通じた潜在的な SQL インジェクション。QuerySet filter()、exclude()、get() のメソッドと Q() クラスは、_connector 引数として適切に細工された辞書を使用した場合、SQL インジェクションの対象となっていました。

     * CVE-2025-64460XML シリアライザーテキスト抽出における潜在的なサービス拒否の脆弱性。django.core.serializers.xml_serializer.getInnerText() のアルゴリズムの複雑性の問題により、リモートの攻撃者が、XML Deserializer を呼び出すサービスに送信された特別に細工された XML 入力を通じて、CPU およびメモリの枯渇を引き起こすサービス拒否を引き起こす可能性があります。この脆弱性は、テキストノードを再帰的に収集する際に、文字列の連結が繰り返されることで、超線形計算を実行していました。

    Debian 11 Bullseyeでは、これらの問題はバージョン 2:2.2.28-1~deb11u10で修正されました。

    python-django パッケージをアップグレードすることを推奨します。

    python-django の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/python-django

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian dla-4425 : python-django-doc - セキュリティ更新

medium Nessus プラグイン ID 280137

バージョン 1.1