以下は、Tim Graham 氏の報告です：

セッションストアを埋めることによる、logout() ビューのサービス拒否の可能性

以前は、django.contrib.auth.views.logout ビューに匿名でアクセスすると、セッションが作成される可能性がありました（admin で行われているように、django.contrib.auth.decorators.login_required でデコレーションされなかった場合）。これにより、攻撃者が繰り返されたリクエストを送信することで、多くの新しいセッションレコードを簡単に作成し、セッションストアを埋め尽くしたり、他のユーザーのセッションレコードを退去させたりします。

django.contrib.sessions.middleware.SessionMiddleware が変更されて、空のセッションレコードが作成されなくなりました。

修正のこの部分に CVE-2015-5963 が割り当てられました。

また、1.4 および 1.7 シリーズのみで、contrib.sessions.backends.base.SessionBase.flush() および cache_db.SessionStore.flush() のメソッドは、新しい空のセッションの作成を回避するために変更されています。サードパーティセッションのバックエンドのメンテナンスを行う人は、同じ脆弱性がバックエンドに存在するかチェックし、存在する場合は訂正する必要があります。

修正のこの部分に CVE-2015-5964 が割り当てられました。サードパーティセッションバックエンドにおいて類似する脆弱性を報告している人は、この CVE ID を使用すべきではありません。

この問題を報告していただいた Lin Hua Cheng 氏に感謝の意を表します。

検出

FreeBSD：django -- 複数の脆弱性（b0e54dc1-45d2-11e5-adde-14dae9d210b8）

medium Nessus プラグイン ID 85522

変更ログが見つかりません