Debian DSA-3544-1：python-django - セキュリティ更新

high Nessus プラグイン ID 90409

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

ハイレベルな Python Web 開発フレームワーク Django に、いくつかの脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2016-2512 Mark Striemer 氏は、基本的な認証証明書を含む一部のユーザー指定のリダイレクト URL が不適切に処理されていることを発見しました。これにより、リモートの攻撃者が、悪意のあるリダイレクトまたはクロスサイトスクリプティング攻撃を行う可能性があります。

- CVE-2016-2513 Sjoerd Job Postmus 氏は、Django により、パスワードハッシャー要素の更新時に、時間差を通じたユーザー列挙を行うことが可能であることを発見しました。

ソリューション

python-django パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション (wheezy) では、これらの問題は、バージョン 1.4.5-1+deb7u16.で修正済みです。

安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 1.7.7-1+deb8u4 で修正されています。