リモートのDebian 12ホストには、dla-4802アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4802-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2026年9月29日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ:python-django バージョン: 3:3.2.25-0+deb12u5 CVE ID: CVE-2026-48587 CVE-2026-48588 Debian バグ:1138775 1141629

    Python ベースの Web 開発フレームワークである Django に、複数の脆弱性が発見されました:

    CVE-2026-48587

        Varyヘッダーの空白パディングによるプライベートデータの漏えいの可能性。django.middleware.cache.UpdateCacheMiddleware が、Vary ヘッダー値に先頭または末尾の空白が含まれる応答を不適切にキャッシュしていました。has_vary_header が空白を除去できなかったため、Vary: * ヘッダー(末尾のスペースに注意)がある応答は、ワイルドカードが含まれていると認識されず、保存され、保存されるべきでないときにキャッシュから提供される可能性がありました。

    CVE-2026-48588

        UpdateCacheMiddleware および @cache_page デコレーターは、着信リクエストが関係のないクッキーを運ぶ際に、クッキーで変化する応答をキャッシュしていました。これにより、リモートの攻撃者は、共有キャッシュからプライベートデータを読み取ることができます。

    Debian 12 bookworm では、これらの問題はバージョン 3:3.2.25-0+deb12u5 で修正されました。

    python-django パッケージをアップグレードすることを推奨します。

    python-django の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/python-django

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian dla-4802:python-django-doc - セキュリティ更新

low Nessus プラグイン ID 352260

変更ログが見つかりません