Debian DSA-2934-1:python-django - セキュリティ更新

critical Nessus プラグイン ID 74097

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

ハイレベルな Python Web 開発フレームワーク Django に、いくつかの脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています:

- CVE-2014-0472 Benjamin Bach 氏は、reverse() URL リゾルバー関数を使用している場合、Django がドット付の Python パスを適切に処理していないことを発見しました。Django アプリケーションから特別に細工されたビューをリクエストできる攻撃者は、この問題を利用して、Django に Python パスから任意のモジュールをインポートさせ、その結果、コードが実行される可能性があります。

- CVE-2014-0473 Paul McMillan 氏は、Django が CSRF クッキーを含む特定のページを不適切にキャッシュしていたことを発見しました。リモートの攻撃者がこの欠陥を利用して、異なるユーザーの CSRF トークンを取得し、Django アプリケーションで意図された CSRF 保護をバイパスする可能性があります。

- CVE-2014-0474 Michael Koziarski 氏は、特定の Django モデルフィールドクラスが、引数でタイプ変換を適切に実行しないことを発見しました。これにより、リモートの攻撃者が、予期しない結果を取得することが可能です。

- CVE-2014-1418 Michael Nelson 氏、Natalia Bidart 氏および James Westby 氏は、Django のキャッシュされたデータが異なるセッション、またはまったくセッションを持たないユーザーに対して機能する可能性があることを発見しました。攻撃者はこれを利用して、プライベートデータを取得することや、キャッシュポイズニングを引き起こす可能性があります。

- CVE-2014-3730 Peter Kuma 氏および Gavin Wahl 氏は、Django が、ユーザー入力からの特定の無効な形式の URL を適切に検証しないことを発見しました。攻撃者はこれを利用して、予期しないリダイレクトを引き起こす可能性があります。

ソリューション

python-django パッケージをアップグレードしてください。

旧安定版(oldstable)ディストリビューション(squeeze)では、これらの問題はバージョン 1.2.3-3+squeeze10 で修正されています。

安定版(stable)ディストリビューション(wheezy)に対して、これらの問題はバージョン 1.4.5-1+deb7u7 で修正されています。

参考資料

https://security-tracker.debian.org/tracker/CVE-2014-0472

https://security-tracker.debian.org/tracker/CVE-2014-0473

https://security-tracker.debian.org/tracker/CVE-2014-0474

https://security-tracker.debian.org/tracker/CVE-2014-1418

https://security-tracker.debian.org/tracker/CVE-2014-3730

https://packages.debian.org/source/squeeze/python-django

https://packages.debian.org/source/wheezy/python-django

https://www.debian.org/security/2014/dsa-2934

プラグインの詳細

深刻度: Critical

ID: 74097

ファイル名: debian_DSA-2934.nasl

バージョン: 1.8

タイプ: local

エージェント: unix

公開日: 2014/5/20

更新日: 2021/1/11

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: Critical

基本値: 10

現状値: 7.4

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

脆弱性情報

CPE: p-cpe:/a:debian:debian_linux:python-django, cpe:/o:debian:debian_linux:6.0, cpe:/o:debian:debian_linux:7.0

必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2014/5/19

参照情報

CVE: CVE-2014-0472, CVE-2014-0473, CVE-2014-0474, CVE-2014-1418, CVE-2014-3730

BID: 67038, 67040, 67041, 67408, 67410

DSA: 2934