更新済み python-django パッケージにより、次記のセキュリティ脆弱性が修正されます：

Jedediah Smith 氏は、Django が WSGI ヘッダー内のアンダースコアを間違って処理していることを発見しました。リモートの攻撃者が、この問題を利用して、特定の環境でヘッダーを偽造する可能性があります（CVE-2015-0219）。

Mikko Ohtamaa 氏は、Django がユーザー指定のリダイレクト URL を不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、クロスサイトスクリプティング攻撃を仕掛ける可能性があります（CVE-2015-0220）。

Alex Gaynor 氏は、Django が django.views.static.serve() でファイルの読み取りを不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、 Django にリソースを消費させ、サービス拒否を引き起こす可能性があります（CVE-2015-0221）。

Keryn Knight 氏は、Django が ModelMultipleChoiceField でフォームを不適切に処理することを発見しました。リモートの攻撃者が、この問題を利用することにより、 SQL クエリを大量に発行することで、データベースをサービス拒否にしてしまう可能性があります。注意：この問題の影響を受けるのは、python-django のみです（CVE-2015-0222）。

1.7.6 より前の Django および 1.8b2 より前の 1.8 の Django における admin/helpers.py のコンテンツ機能のクロスサイトスクリプティング（XSS）の脆弱性により、リモート攻撃者が、\@property で示されているように、ModelAdmin.readonly_fields のモデル属性を通して任意の Web スクリプトまたは HTML を注入する可能性があります（CVE-2015-2241）。

特定の Python バージョンを使用する際に、1.6.11 より前の Django 1.6.x、1.7.7 より前の Django 1.7.x、1.8c1 より前の Django 1.8.x の utils.html.strip_tags 関数により、リモートの攻撃者が、入力文字列の長さを大きくして、サービス拒否（無限ループ）を引き起こす可能性があります（CVE-2015-2316）。

1.4.20 より前、1.5.x、1.6.11 より前の 1.6.x、1.7.7 より前の 1.7.x、および 1.8c1 より前の 1.8. x の Django にある utils.http.is_safe_url 関数が適切に URL を検証しないため、\x08javascript で示されているように、URL の制御文字により、リモートの攻撃者が、クロスサイトスクリプティング（XSS）攻撃を仕掛ける可能性があります：(CVE-2015-2317)。

検出

Mandriva Linux セキュリティアドバイザリ：python-django（MDVSA-2015:109）

medium Nessus プラグイン ID 82362

変更ログが見つかりません