Debian DSA-2634-1：python-django - 複数の脆弱性

medium Nessus プラグイン ID 64898

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

ハイレベルな Python Web 開発フレームワークである Django に、いくつかの脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2012-4520 James Kettle 氏は、特定のリクエストを処理する際に、Django が HTTP ホストヘッダーを適切にフィルタリングしていないことを発見しました。攻撃者がこれを悪用し、Django の一部を生成し、特にパスワードのリセットのメカニズムを生成し、これによって任意の URL をユーザーに表示する可能性があります。

- CVE-2013-0305 Orange Tsai 氏は、バンドルされた Django の管理インターフェイスが履歴ログを通じて、非表示であるはずと思われる情報を露出させる可能性があることを発見しました。

- CVE-2013-0306 Mozilla は、攻撃者が Django によるフォームセットにある多数のフォームのトラッキングを悪用し、極端にメモリを消費することでサービス拒否攻撃を引き起こす可能性があることを発見しました。

- CVE-2013-1665 Michael Koziarski 氏は、Django の XML 逆シリアル化が、エンティティの拡張や外部エンティティ/DTD の攻撃に脆弱であることを発見しました。