Debian DSA-2529-1：python-django - 複数の脆弱性

medium Nessus プラグイン ID 61538

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Jeroen Dekkers 氏およびその他の方々により、Python Web フレームワークである Django にあるいくつかの脆弱性が報告されました。Common Vulnerabilities and Exposures プロジェクトでは、次の問題が特定されています：

- CVE-2012-3442 2 つの関数がリダイレクトターゲットのスキームを検証しません。これにより、リモートの攻撃者が data: URL を介して、クロスサイトスクリプティング（XSS）攻撃を仕掛ける可能性があります。

- CVE-2012-3443 ImageField クラスは、画像検証中に画像データを完全に解凍します。これにより、リモートの攻撃者が、画像ファイルをアップロードすることでサービス拒否（メモリ破損）を引き起こすことができます。

- CVE-2012-3444 画像処理機能の get_image_dimensions 関数は、寸法を決定する試みにおいて、常に一定のチャンクサイズを使用します。これにより、リモートの攻撃者は、大きな TIFF 画像を介してサービス拒否（プロセスまたはスレッドの消費）を引き起こすことができます。