Django プロジェクトによる報告：

これらのセキュリティリリースでは、次の 4 つの問題を修正します：1 つの潜在的なフィッシングベクトル、1 つのサービス拒否ベクトル、1 つの情報漏洩の問題、および一連の XML の脆弱性。

- ホストヘッダーポイズニング

攻撃者が Django に、任意のドメインにリンクする URL を生成および表示させる可能性があります。これがフィッシング攻撃の一部として利用される可能性があります。
これらのリリースでは、新しい設定である ALLOWED_HOSTS を導入することでこの問題を修正します。これは、サイトが応答することが知られているドメインのホワイトリストを指定します。

重要：デフォルトで、Django 1.3.6 および 1.4.4 はすべてのホストを許可するように ALLOWED_HOSTS を設定します。つまり、このセキュリティの脆弱性を実際に修正するためには、アップグレード後に速やかにこの設定を自身で定義する必要があります。

- フォームセットのサービス拒否

攻撃者が、Django によるフォームセットのフォームの数の追跡を悪用して、DoS 攻撃（サービス拒否攻撃）を引き起こす可能性があります。これは、デフォルトのフォームの最大数 1,000 を追加することで修正されました。必要な場合はより大きな max_num を手動で指定することができますが、どんな用途でも 1,000 で十分なはずです。

- XML 攻撃

Django のシリアル化フレームワークは、XML エンティティ拡張および外部参照を通じた攻撃に対して脆弱でした。これは現在は修正されています。しかし、アプリケーションの他の部分の任意の XML を解析している場合は、defusedxml Python パッケージを確認することを推奨します。これにより、Django のシリアル化フレームワークのみでなく、XML を解析しているあらゆる場所でこれが修正されます。

- 管理者履歴ログ経由のデータ漏洩

Django の管理者インターフェイスは、その履歴ログを通じて本来は隠すべき情報を暴露する可能性があります。これは修正されました。

検出

FreeBSD：django -- 複数の脆弱性（21c59f5e-7cc5-11e2-9c11-080027a5ec9a）

medium Nessus プラグイン ID 64873

変更ログが見つかりません