Debian DLA-272-1：python-django セキュリティ更新

high Nessus プラグイン ID 84812

Language:

概要

リモートの Debian ホストにセキュリティ更新がありません。

説明

ハイレベルな Python Web 開発フレームワーク Django に、いくつかの脆弱性が見つかりました：

CVE-2015-2317

Daniel Chatfield 氏は、高レベルの Python Web 開発フレームワークである python-django　がユーザーが指定したリダイレクト　URL を不適切に処理していることを発見しました。リモートの攻撃者が、この欠陥を利用して、クロスサイトスクリプティング攻撃を実行する可能性があります。

CVE-2015-5143

Eric Peterson 氏と Lin Hua Cheng 氏は、セッションがアクセスされ、リクエストクッキーで不明なセッションキーが提供されるたびに、セッションストレージに、使用される新しい空のレコードが作成されることを見つけました。これにより、リモートの攻撃者が、セッションストアを飽和させたり、他のユーザーのセッションレコードを退去させたりする可能性があります。

CVE-2015-5144

Sjoerd Job Postmus 氏は、一部の内蔵バリデーターによって、入力値の改行が適切に拒否されないことを見つけました。これにより、リモートの攻撃者が、メールおよび HTTP 応答にヘッダーを注入する可能性があります。

旧安定版（oldstable）ディストリビューション（squeeze）では、これらの問題はバージョン 1.2.3-3+squeeze13 で修正されています。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。