James Kettle は、特定のリクエストを処理する際に、 Django がホスト HTTP ヘッダーを適切にフィルタリングしていなかったことを発見しました。攻撃者がこれを悪用して、任意の URL を生成し、ユーザーに表示するおそれがあります。

Django で、複数のホストヘッダー配置の欠陥が見つかり、修正されました。

更新パッケージが、この問題の影響を受けない 1.3.5 バージョンにアップグレードされています。

James Kettle 氏は、特定のリクエストを処理する際に、Django がホスト HTTP ヘッダーを適切にフィルタリングしていないことを発見しました。攻撃者がこれを悪用して、任意の URL を生成し、ユーザーに表示するおそれがあります。この問題は以前に USN-1632-1 で対処されましたが、この更新により、ホストヘッダーの検証にさらなる強化策が追加されます。またこの更新では、ヘッダー用の許容値リストに設定できる、新しい ALLOWED_HOSTS 設定が追加されます。(CVE-2012-4520)

Orange Tsai 氏は、管理者インターフェイスの履歴ビューを表示するときに、Django が権限チェックを不適切に実行することを発見しました。管理者がこの欠陥を利用して、意図された権限にかかわらず、オブジェクトの履歴を閲覧する可能性があります。(CVE-2013-0305)

Django がフォームセットの生成時に大量のフォームを不適切に処理することが判明しました。攻撃者がこの欠陥を利用して、Django にメモリを消費させて、サービス拒否を引き起こす可能性があります。
(CVE-2013-0306)

Django が XML を不適切に逆シリアル化することが判明しました。攻撃者がこの欠陥を利用して、エンティティ拡張および外部エンティティ/DTD 攻撃を仕掛ける可能性があります。この更新では Django の動作を変更し、DTD の許可、エンティティ拡張の実行、または外部エンティティ/DTD のフェッチを行わなくなりました。（CVE-2013-1664、 CVE-2013-1665）。

セキュリティリリースを発行 - ホストヘッダーポイズニング

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ハイレベルな Python Web 開発フレームワークである Django に、いくつかの脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2012-4520 James Kettle 氏は、特定のリクエストを処理する際に、Django が HTTP ホストヘッダーを適切にフィルタリングしていないことを発見しました。攻撃者がこれを悪用し、Django の一部を生成し、特にパスワードのリセットのメカニズムを生成し、これによって任意の URL をユーザーに表示する可能性があります。

- CVE-2013-0305 Orange Tsai 氏は、バンドルされた Django の管理インターフェイスが履歴ログを通じて、非表示であるはずと思われる情報を露出させる可能性があることを発見しました。

- CVE-2013-0306 Mozilla は、攻撃者が Django によるフォームセットにある多数のフォームのトラッキングを悪用し、極端にメモリを消費することでサービス拒否攻撃を引き起こす可能性があることを発見しました。

- CVE-2013-1665 Michael Koziarski 氏は、Django の XML 逆シリアル化が、エンティティの拡張や外部エンティティ/DTD の攻撃に脆弱であることを発見しました。

さまざまなセキュリティ問題とバグを修正するために、python-django が 1.4.5 に更新されました。

1.4.5 に更新してください：

- セキュリティリリース。

- bnc#807175 / bnc#787521 / CVE-2012-4520 / CVE-2013-0305 / CVE-2013-0306 および CVE-2013-1665 を修正。

- 1.4.3 に更新します：

- セキュリティリリース：

- ホストヘッダーポイズニング

- ポイズニングをリダイレクト

- 詳細については、リリースノートを確認してください：
 https://www.djangoproject.com/weblog/2012/dec/10/security

- /usr/bin/django-admin.py から /usr/bin/django-admin にシンボリックリンクを追加

- 1.4.2 に更新します：

- セキュリティリリース：

- ホストヘッダーポイズニング

- 詳細については、リリースノートを確認してください：
 https://www.djangoproject.com/weblog/2012/oct/17/security

- 1.4.1 に更新します：

- セキュリティリリース：

- 認証の表示におけるクロスサイトスクリプティング

- 画像検証におけるサービス拒否

- get_image_dimensions() によるサービス拒否

- 詳細については、リリースノートを確認してください：
 https://www.djangoproject.com/weblog/2012/jul/30/security-releases-issued

- CSRF_COOKIE_HTTPONLY 構成をサポートするパッチを追加

Django プロジェクトによる報告：

- ホストヘッダーポイズニング

エンドユーザーが記述したアプリケーションから独立した Django の一部は、
-- ドメイン名を含む完全な URL を利用します。これは、HTTP Host ヘッダーから生成されます。これに対する一部の攻撃者は、Django のコントロール能力を超えており、Web サーバーが適切に構成されていることが必要です。Django の文書には、この構成についてユーザーにアドバイスする記述がしばらくの間含まれていました。

しかし、Host ヘッダーに対する Django の独自のビルトイン解析は、最近弊社に報告されたとおり、依然として脆弱です。Django 1.3 および Django 1.4 の Host ヘッダー解析（具体的には、django.http.HttpRequest.get_host()）は、ヘッダーのユーザー名/パスワードを不適切に処理していました。このため、例えば、次の Host ヘッダーは、「validsite.com」で実行時に Django によって受け入れられました：

Host：validsite.com:random@evilsite.com

これを利用して、攻撃者が、Django の一部（特にパスワードリセットメカニズム）に任意の URL を生成させて、これをユーザーに表示させる可能性があります。

これを修正するために、HttpRequest.get_host() の解析は変更されています。危険な可能性があるコンテンツ（ユーザー名とパスワードのペアなど）を含む Host ヘッダーは、例外 django.core.exceptions.SuspiciousOperation を上げるようになりました。

- HttpOnly クッキーオプションの文書

Django 1.4 では、セッションクッキーは常に HttpOnly フラグとともに送信されます。これは、セッションクッキーに対するクライアント側のスクリプトアクセスを拒否することで、クロスサイトスクリプティング攻撃に対する保護を高めています。

直接的な Django のセキュリティ問題ではありませんが、Django 1.4 の文書が、これは HttpResponse.set_cookie() メソッドによって設定されたすべてのクッキーのデフォルトになったと、この変更を誤って記述していたことが報告されました。

これがセッションクッキーにのみ適用されることを反映するために、Django の文書は更新されました。Django のユーザーは、set_cookie() の使用を確認し、HttpOnly フラグが適切に設定または解除されていることを確かめることが推奨されます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
62937	Ubuntu 10.04 LTS / 11.10 / 12.04 LTS / 12.10：python-django の脆弱性（USN-1632-1）	Nessus	Ubuntu Local Security Checks	2012/11/16	2019/9/19	medium
63312	Mandriva Linux セキュリティアドバイザリ：python-django（MDVSA-2012:181）	Nessus	Mandriva Local Security Checks	2012/12/20	2021/1/6	medium
65096	Ubuntu 10.04 LTS / 11.10 / 12.04 LTS / 12.10：python-django の脆弱性（USN-1757-1）	Nessus	Ubuntu Local Security Checks	2013/3/8	2019/9/19	medium
62673	Fedora 18：python-django-1.4.2-1.fc18（2012-16406）	Nessus	Fedora Local Security Checks	2012/10/24	2021/1/11	medium
64898	Debian DSA-2634-1：python-django - 複数の脆弱性	Nessus	Debian Local Security Checks	2013/2/27	2021/1/11	medium
62750	Fedora 16：Django-1.3.4-1.fc16（2012-16417）	Nessus	Fedora Local Security Checks	2012/10/30	2021/1/11	medium
75089	openSUSE のセキュリティ更新：python-django（openSUSE-SU-2013:1203-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
62705	FreeBSD：django -- 複数の脆弱性（5f326d75-1db9-11e2-bc8f-d0df9acfd7e5）	Nessus	FreeBSD Local Security Checks	2012/10/26	2021/1/6	medium
62765	Fedora 17：Django-1.4.2-1.fc17（2012-16440）	Nessus	Fedora Local Security Checks	2012/10/31	2021/1/11	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium