Debian DSA-3151-1：python-django - セキュリティ更新

medium Nessus プラグイン ID 81131

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

ハイレベルな Python Web 開発フレームワーク Django に、いくつかの脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2015-0219 Jedediah Smith 氏は、Django の WSGI 環境が、ダッシュを含むヘッダーとアンダースコアを含むヘッダーを区別していないことを報告しました。リモートの攻撃者が、この欠陥を利用して、WSGI ヘッダーを偽装する可能性があります。

- CVE-2015-0220 Mikko Ohtamaa 氏は、Django の django.util.http.is_safe_url() 関数が、ユーザー指定のリダイレクト URL にある先頭の空白を適切に処理していないことを発見しました。リモートの攻撃者が、この欠陥を利用して、クロスサイトスクリプティング攻撃を実行する可能性があります。

- CVE-2015-0221 Alex Gaynor 氏は、Django が django.views.static.serve() ビューで読み込みファイルを処理する方法における欠陥を報告しました。リモートの攻撃者が、この欠陥を利用して、リソース消費によりサービス拒否を仕掛ける可能性があります。

ソリューション

python-django パッケージをアップグレードしてください。

安定版（stable）ディストリビューション（wheezy）に対して、これらの問題はバージョン 1.4.5-1+deb7u9 で修正されています。

将来の安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 1.7.1-1.1 で修正されています。