Debian DSA-3338-1：python-django - セキュリティ更新

medium Nessus プラグイン ID 85587

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Lin Hua Cheng 氏は、django.contrib.auth.views.logout ビューに匿名でアクセスすると、セッションが作成される可能性があることを発見しました。これにより、リモートの攻撃者が、セッションストアを飽和させたり、他のユーザーのセッションレコードを退去させたりする可能性があります。

また、contrib.sessions.backends.base.SessionBase.flush() および cache_db.SessionStore.flush() のメソッドは、新しい空のセッションの作成も回避するために変更されています。

ソリューション

python-django パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション (wheezy) では、これらの問題は、バージョン 1.4.5-1+deb7u13.で修正済みです。

安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 1.7.7-1+deb8u2 で修正されています。