リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、b0395fb0-d45c-11f1-985e-901b0edee044 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Bruno Alla 氏による報告:
    認証されていない攻撃者が、Content-Type charset パラメーターで圧縮コーデックに名前を付けることで、Django のDATA_UPLOAD_MAX_MEMORY_SIZE制限を突破し、ワーカープロセスに任意のメモリを割り当てさせる可能性があります。108 バイトのリクエスト本文は、ビュー内に 50,331,648 文字の値(466,033 の増幅係数)を生成し、プロセスピーク RSS を約 97 MiB 増加させます。DRF のデフォルトパーサーセットを超えるアプリケーション構成は必要ありません。エンドポイントは JSON 本文のみを受け入れる必要があります。
    TokenProxy を通して認証トークンを削除しても、何も削除されません。呼び出しは例外を発生させず、成功を報告し、データベース行は生き残り、トークンは認証を継続します。TokenProxyインスタンスで.delete()を呼び出して資格情報を取り消すアプリケーション、管理者統合、または操作スクリプトは、まだ有効なトークンを取り消したと見なします。
    DRF のコンテンツネゴシエーションは、リクエストごとに各 Accept トークンを複数回解析し、トークンの数やその合計サイズを制限することはありません。それぞれの解析は Django の parse_header_parameters に行き着きます。これは、引用符で囲まれたパラメーター値がセミコロンでパックされている場合、2 次時間を必要とします。私のマシンでは、96個のそのようなトークンで構成される780KB Acceptヘッダーを持つ単一のGETにより、1人のgunicornワーカーが 18.87 秒間ビジー状態に保たれていました(Django 6.1、djangorestframework 3.18.0、gunicorn 26.0.0、Python 3.13、macOSのDocker)。ヘッダーは構文的に有効であり、gunicorn のデフォルトのヘッダー制限内に収まるため、認証は必要ありません。同期ワーカーごとに1つである2つの同時リクエストにより、デフォルトの2つのワーカー展開が40秒のテストウィンドウ全体で応答しなくなりました。送信をやめてから30秒で回復しました。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

FreeBSD:py-djangorestframework -- 複数の脆弱性(b0395fb0-d45c-11f1-985e-901b0edee044)

high Nessus プラグイン ID 374539

バージョン 1.1