Debian DSA-2934-1：python-django - セキュリティ更新

critical Nessus プラグイン ID 74097

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

ハイレベルな Python Web 開発フレームワーク Django に、いくつかの脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2014-0472 Benjamin Bach 氏は、reverse() URL リゾルバー関数を使用している場合、Django がドット付の Python パスを適切に処理していないことを発見しました。Django アプリケーションから特別に細工されたビューをリクエストできる攻撃者は、この問題を利用して、Django に Python パスから任意のモジュールをインポートさせ、その結果、コードが実行される可能性があります。

- CVE-2014-0473 Paul McMillan 氏は、Django が CSRF クッキーを含む特定のページを不適切にキャッシュしていたことを発見しました。リモートの攻撃者がこの欠陥を利用して、異なるユーザーの CSRF トークンを取得し、Django アプリケーションで意図された CSRF 保護をバイパスする可能性があります。

- CVE-2014-0474 Michael Koziarski 氏は、特定の Django モデルフィールドクラスが、引数でタイプ変換を適切に実行しないことを発見しました。これにより、リモートの攻撃者が、予期しない結果を取得することが可能です。

- CVE-2014-1418 Michael Nelson 氏、Natalia Bidart 氏および James Westby 氏は、Django のキャッシュされたデータが異なるセッション、またはまったくセッションを持たないユーザーに対して機能する可能性があることを発見しました。攻撃者はこれを利用して、プライベートデータを取得することや、キャッシュポイズニングを引き起こす可能性があります。

- CVE-2014-3730 Peter Kuma 氏および Gavin Wahl 氏は、Django が、ユーザー入力からの特定の無効な形式の URL を適切に検証しないことを発見しました。攻撃者はこれを利用して、予期しないリダイレクトを引き起こす可能性があります。

ソリューション

python-django パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（squeeze）では、これらの問題はバージョン 1.2.3-3+squeeze10 で修正されています。

安定版（stable）ディストリビューション（wheezy）に対して、これらの問題はバージョン 1.4.5-1+deb7u7 で修正されています。