Debian DLA-301-1：python-django セキュリティ更新

medium Nessus プラグイン ID 85656

Language:

概要

リモートの Debian ホストにセキュリティ更新がありません。

説明

セッションストアを埋めることによる、logout() ビューのサービス拒否の可能性

以前は、django.contrib.auth.views.logout ビューに匿名でアクセスすると、セッションが作成される可能性がありました（admin で行われているように、django.contrib.auth.decorators.login_required でデコレーションされなかった場合）。これにより、攻撃者が繰り返されたリクエストを送信することで、多くの新しいセッションレコードを簡単に作成し、セッションストアを埋め尽くしたり、他のユーザーのセッションレコードを退去させたりします。

django.contrib.sessions.middleware.SessionMiddleware が変更されて、空のセッションレコードが作成されなくなりました。

修正のこの部分に CVE-2015-5963 が割り当てられました。

また、contrib.sessions.backends.base.SessionBase.flush() および cache_db.SessionStore.flush() メソッドは、新しい空のセッションの作成を回避するために変更されました。サードパーティセッションのバックエンドのメンテナンスを行う人は、同じ脆弱性がバックエンドに存在するかチェックし、存在する場合は訂正する必要があります。

修正のこの部分に CVE-2015-5964 が割り当てられました。

python-django パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。