Debian DSA-3305-1：python-django - セキュリティ更新

high Nessus プラグイン ID 84626

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

ハイレベルな Python Web 開発フレームワーク Django に、いくつかの脆弱性が見つかりました：

- CVE-2015-5143 Eric Peterson 氏と Lin Hua Cheng 氏は、セッションがアクセスされ、リクエストクッキーで未知のセッションキーが提供されるたびに、セッションストレージに新しい空のレコードが作成されていたことを発見しました。これにより、リモートの攻撃者が、セッションストアを飽和させたり、他のユーザーのセッションレコードを退去させたりする可能性があります。

- CVE-2015-5144 Sjoerd Job Postmus は、一部の内蔵バリデーターが、入力値の改行を適切に拒否しないことを発見しました。これにより、リモートの攻撃者が、メールおよび HTTP 応答にヘッダーを注入する可能性があります。

ソリューション

python-django パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション (wheezy) では、これらの問題は、バージョン 1.4.5-1+deb7u12.で修正済みです。

安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 1.7.7-1+deb8u1 で修正されています。