openSUSE のセキュリティ更新：python-django（openSUSE-SU-2014:1132-1）

critical Nessus プラグイン ID 77718

Language:

概要

リモート openSUSE ホストに、セキュリティ更新がありません。

説明

Python Django は更新され、セキュリティの問題とバグを修正しました。

openSUSE 12.3 でバージョン 1.4.15 に更新：

+ reverse() が他のホストを指し示している URL を生成するのを回避し、フィッシング攻撃を回避しました（bnc#893087、CVE-2014-0480）

+ 重複しているファイル名のアップロード中の O(n) アルゴリズムを削除し、ファイルアップロードのサービス拒否を修正（bnc#893088、CVE-2014-0481）

+ REMOTE_USE の変更でログアウトするために RemoteUserMiddleware を修正し、セッションハイジャックを回避（bnc#893089、CVE-2014-0482）

+ クエリ文字列の操作により contrib.admin のデータ漏洩を回避しました（bnc#893090, CVE-2014-0483）

+ 修正済み：キャッシュが、プライバシーデータを保存し提供することが不適切に許容されていた可能性があります（bnc#877993、CVE-2014-1418）

+ 修正済み：ユーザー入力からの無効な形式のリダイレクト URL が適切に検証されていませんでした（bnc#878641、CVE-2014-3730）

+ タイプキャスティングにより MySQL で予期せぬ結果を返す可能性のあるクエリを修正しました（bnc#874956、CVE-2014-0474）

+ キャッシングを通じた CSRF トークンの漏洩を回避しました（bnc#874955、CVE-2014-0473）

+ URL リバーシングにあるリモートコードの実行の脆弱性を修正しました（bnc#874950、CVE-2014-0472）

openSUSE 13.1 でバージョン 1.5.10 に更新：

+ reverse() が他のホストを指し示している URL を生成するのを回避し、フィッシング攻撃を回避しました（bnc#893087、CVE-2014-0480）

+ 重複しているファイル名のアップロード中の O(n) アルゴリズムを削除し、ファイルアップロードのサービス拒否を修正（bnc#893088、CVE-2014-0481）

+ REMOTE_USE の変更でログアウトするために RemoteUserMiddleware を修正し、セッションハイジャックを回避（bnc#893089、CVE-2014-0482）

+ クエリ文字列の操作により contrib.admin のデータ漏洩を回避しました（bnc#893090, CVE-2014-0483）

- バージョン 1.5.8 に更新してください：

+ 修正済み：キャッシュが、プライバシーデータを保存し提供することが不適切に許容されていた可能性があります（bnc#877993、CVE-2014-1418）

+ 修正済み：ユーザー入力からの無効な形式のリダイレクト URL が適切に検証されていませんでした（bnc#878641、CVE-2014-3730）

+ タイプキャスティングにより MySQL で予期せぬ結果を返す可能性のあるクエリを修正しました（bnc#874956、CVE-2014-0474）

+ キャッシングを通じた CSRF トークンの漏洩を回避しました（bnc#874955、CVE-2014-0473）

+ URL リバーシングにあるリモートコードの実行の脆弱性を修正しました（bnc#874950、CVE-2014-0472）