CVE-2014-0480、CVE-2014-0481、CVE-2014-0482、CVE-2014-0483 のセキュリティ修正

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Florian Apolloner 氏は、Django が URL を適切に検証していないことを発見しました。リモートの攻撃者が、この問題を利用して、フィッシング攻撃を実行する可能性があります。
(CVE-2014-0480)

David Wilson 氏は、Django がファイル名生成を適切に処理していないことを発見しました。リモートの攻撃者がこの問題を利用して、Django にリソースを消費させて、サービス拒否を引き起こす可能性があります。(CVE-2014-0481)

David Greisen 氏は、Django が contrib.auth.middleware.RemoteUserMiddleware の中の特定のヘッダーを適切に処理していないことを発見しました。認証されたリモートユーザーがこの問題を利用して Web セッションをハイジャックする可能性があります。
(CVE-2014-0482)

Collin Anderson 氏は、Django が管理インターフェースでフィールドがモデル間の関係を表しているかどうかのチェックを適切に行わないことを発見しました。認証されたリモートユーザーが、この問題を利用して、機密情報を取得する可能性があります。(CVE-2014-0483)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

この更新により、reverse() による外部 URL 生成、
ファイルアップロードに関するサービス拒否、リモートユーザーミドルウェアの潜在的なセッションハイジャックの問題、および管理インターフェイスのデータ漏洩に関連する問題を対処します。

http://www.freexian.com/services/debian-lts.html

CVE-2014-0480

Django には、ヘルパー関数である django.core.urlresolvers.reverse が含まれており、主にビュー機能または URL パターン名に対する参照から URL を生成するために使用されます。しかし、2 つのフォワードスラッシュ（//）で始まる入力が存在する場合、reverse() が他のホストに対してスキーム相対 URL を生成することで、reverse() の安全でない使用（一般的な例として、エンドユーザーがリダイレクトのターゲットをコントロールできる状況など）を認識している攻撃者が、自分で選択したサイトへのリンクを作成し、フィッシング攻撃およびその他の攻撃を実行できる可能性があります。

これを修正するために、URL の反転は、2 つのスラッシュ（//）で始まる URL がないことを確認し、2 つ目のスラッシュを URL エンコードされた文字（%2F）に置き換えるようになりました。この方法により、セマンティックは同じままで、URL をスキームではなくドメインに対して相対的にします。

CVE-2014-0481

デフォルト構成では、Django のファイルアップロード処理システムに既存のファイルと同じディスクパスおよび名前を持つファイルが存在する場合、下線および整数を（ディスクに保存されているように）ファイル名の末尾に付け、あらゆる既存ファイルと競合しない名前を生成するまで整数（例えば、_1、_2 など）をインクリメントすることで、新しい固有ファイル名の生成を試みます。

これを知り得た攻撃者が、ファイル名を共有している多くの小さいファイルをアップロードすることで、ファイル名生成のシーケンシャル動作を悪用する可能性があります。Django がその動作の処理において、固有ファイル名を生成する際に絶えず増え続ける os.stat() 呼び出しを生成します。その結果、アップロード数が比較的少ない場合でも、パフォーマンスを著しく低下させる可能性があります。

これを修正するために、Django のファイルアップロードシステムは、ディスク上でのファイル名の競合を回避するためにシーケンシャル整数名を使用しなくなりました。代わりに、短いランダムな英数字文字列が付加され、繰り返し競合する多くのファイル名を確実に生成する機能を削除します。

CVE-2014-0482

Django は、ミドルウェア -- django.contrib.auth.middleware.RemoteUserMiddleware -- および認証バックエンドである django.contrib.auth.backends.RemoteUserBackend を提供します。これらは、認証のために REMOTE_USER ヘッダーを使用します。

ある状況においてこのミドルウェアとバックエンドを使用すると、対応するログアウトおよびログイン動作を伴わない REMOTE_USER ヘッダーの変更が行われた場合、ユーザーが別のユーザーのセッションを受信する可能性があります。

これを修正するために、ミドルウェアは現在、明示的なログアウトをせずに REMOTE_USER への変更が行われる場合、強制的にログアウトさせ、新しい REMOTE_USER を許可する前に再ログインを強制します。

CVE-2014-0483

Django の管理インターフェイスである django.contrib.admin は、関連するオブジェクトがポップアップウィンドウに選択肢として表示する機能を提供します。このメカニズムは、表示する関連モデル、ならびに関係性が実装されるフィールドを指定する URL とクエリ文字列への値の配置に依存しています。このメカニズムは、全体のモデルクラスレベルでの権限チェックを実行します。

しかし、このメカニズムは、指定されたフィールドがモデル間の関係性を実際に示しているかどうかを検証しませんでした。
このため、管理者インターフェイスへのアクセス権、ならびにモデル構成と適切な URL に関する十分な知識を持つユーザーが、アプリケーション開発者がそのような方法での露呈を意図していないフィールドを含む、関係のないフィールドの値を表示するポップアップビューを作成する可能性があります。

これを修正するために、管理者インターフェイスは現在、通常の権限チェックに加えて、指定されたフィールドが管理者に登録されたモデルとの関係性を実際に示しているかを検証し、どちらかの条件が満たされていない場合、例外を上げるようになりました。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

CVE-2014-0480 CVE-2014-0481 CVE-2014-0482 CVE-2014-0483 を修正する 1.4.14 に更新

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

最新の安定版（stable）リリースに更新してください

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201412-22 で説明されている脆弱性の影響を受けます（Django：複数の脆弱性）

Django に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、サービス拒否状態を引き起こしたり、機密情報を取得したり、Web セッションをハイジャックしたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

Django プロジェクトによる報告：

これらのリリースにより、reverse() による外部 URL 生成、
ファイルアップロードに関するサービス拒否、リモートユーザーミドルウェアの潜在的なセッションハイジャックの問題、および管理インターフェイスのデータ漏洩に関連する問題を対処します。Django の全ユーザーは、できる限り早くアップグレードすることが推奨されます。

ハイレベルな Python Web 開発フレームワーク Django に、いくつかの脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2014-0480 Florian Apolloner 氏は、状況によって、URL リバーシングがスキーム関連の URL を生成する可能性があることを発見しました。これにより、ユーザーが予期せず異なるホストにリダイレクトされ、フィッシング攻撃が引き起こされる可能性があります。

- CVE-2014-0481 David Wilson 氏は、ファイルアップロードのサービス拒否の脆弱性を報告しました。Django のデフォルト構成のファイルアップロード処理は、重複したファイル名がアップロードされると、非常に多数の「os.stat()」システムコールを生成するようにデグレードされる可能性があります。ファイルをアップロードできるリモートの攻撃者が、アップロードハンドラーのパフォーマンスを低下させ、非常に遅くする可能性があります。

- CVE-2014-0482 David Greisen 氏は、ある状況において、RemoteUserMiddleware ミドルウェアと RemoteUserBackend 認証バックエンドを使用すると、対応するログアウトおよびログイン動作を伴わない REMOTE_USER ヘッダーの変更が行われた場合、ユーザーが別のユーザーのセッションを受信する可能性があります。

- CVE-2014-0483 Collin Anderson 氏は、管理者変更フォームページのクエリ文字列の「popup」と「to_field」のパラメーターを修正することにより、任意のフィールドデータを漏洩することが可能であることを発見しました。管理者インターフェイスへのアクセス権、ならびにモデル構成と適切な URL に関する十分な知識を持つユーザーが、アプリケーション開発者がそのような方法での露呈を意図していないフィールドを含む、関係のないフィールドの値を表示するポップアップビューを作成する可能性があります。

CVE-2014-3473 CVE-2014-3474 CVE-2014-3475 を修正する 1.5.9 に更新してください

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

更新済み python-django パッケージにより、次記のセキュリティ脆弱性が修正されます：

これらのリリースにより、reverse() による外部 URL 生成の問題（CVE-2014-0480）、ファイルアップロードに関するサービス拒否（CVE-2014-0481）、リモートユーザーミドルウェアの潜在的なセッションハイジャックの問題（CVE-2014-0482）、および管理インターフェイスのデータ漏洩（CVE-2014-0483）に対処します。

Python Django は更新され、セキュリティの問題とバグを修正しました。

openSUSE 12.3 でバージョン 1.4.15 に更新：

+ reverse() が他のホストを指し示している URL を生成するのを回避し、フィッシング攻撃を回避しました（bnc#893087、CVE-2014-0480）

+ 重複しているファイル名のアップロード中の O(n) アルゴリズムを削除し、ファイルアップロードのサービス拒否を修正（bnc#893088、CVE-2014-0481）

+ REMOTE_USE の変更でログアウトするために RemoteUserMiddleware を修正し、セッションハイジャックを回避（bnc#893089、CVE-2014-0482）

+ クエリ文字列の操作により contrib.admin のデータ漏洩を回避しました（bnc#893090, CVE-2014-0483）

+ 修正済み：キャッシュが、プライバシーデータを保存し提供することが不適切に許容されていた可能性があります（bnc#877993、CVE-2014-1418）

+ 修正済み：ユーザー入力からの無効な形式のリダイレクト URL が適切に検証されていませんでした（bnc#878641、CVE-2014-3730）

+ タイプキャスティングにより MySQL で予期せぬ結果を返す可能性のあるクエリを修正しました（bnc#874956、CVE-2014-0474）

+ キャッシングを通じた CSRF トークンの漏洩を回避しました（bnc#874955、CVE-2014-0473）

+ URL リバーシングにあるリモートコードの実行の脆弱性を修正しました（bnc#874950、CVE-2014-0472）

openSUSE 13.1 でバージョン 1.5.10 に更新：

+ reverse() が他のホストを指し示している URL を生成するのを回避し、フィッシング攻撃を回避しました（bnc#893087、CVE-2014-0480）

+ 重複しているファイル名のアップロード中の O(n) アルゴリズムを削除し、ファイルアップロードのサービス拒否を修正（bnc#893088、CVE-2014-0481）

+ REMOTE_USE の変更でログアウトするために RemoteUserMiddleware を修正し、セッションハイジャックを回避（bnc#893089、CVE-2014-0482）

+ クエリ文字列の操作により contrib.admin のデータ漏洩を回避しました（bnc#893090, CVE-2014-0483）

- バージョン 1.5.8 に更新してください：

+ 修正済み：キャッシュが、プライバシーデータを保存し提供することが不適切に許容されていた可能性があります（bnc#877993、CVE-2014-1418）

+ 修正済み：ユーザー入力からの無効な形式のリダイレクト URL が適切に検証されていませんでした（bnc#878641、CVE-2014-3730）

+ タイプキャスティングにより MySQL で予期せぬ結果を返す可能性のあるクエリを修正しました（bnc#874956、CVE-2014-0474）

+ キャッシングを通じた CSRF トークンの漏洩を回避しました（bnc#874955、CVE-2014-0473）

+ URL リバーシングにあるリモートコードの実行の脆弱性を修正しました（bnc#874950、CVE-2014-0472）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
77614	Fedora 20： python-django15-1.5.9-1.fc20（2014-9866）	Nessus	Fedora Local Security Checks	2014/9/11	2021/1/11	medium
77725	Ubuntu 14.04 LTS : Django の脆弱性 (USN-2347-1)	Nessus	Ubuntu Local Security Checks	2014/9/17	2023/10/20	medium
82210	Debian DLA-65-1：python-django セキュリティ更新	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	medium
77591	Fedora 20： python-django14-1.4.14-1.fc20（2014-9788）	Nessus	Fedora Local Security Checks	2014/9/10	2021/1/11	medium
79646	Fedora 19： python-django14-1.4.16-1.fc19（2014-15307）	Nessus	Fedora Local Security Checks	2014/12/2	2021/1/11	medium
77590	Fedora 20：python-django-1.6.6-1.fc20（2014-9771）	Nessus	Fedora Local Security Checks	2014/9/10	2021/1/11	medium
79645	Fedora 20： python-django14-1.4.16-1.fc20（2014-15266）	Nessus	Fedora Local Security Checks	2014/12/2	2021/1/11	medium
79975	GLSA-201412-22：Django：複数の脆弱性	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	medium
77315	FreeBSD：django -- 複数の脆弱性（3c5579f7-294a-11e4-99f6-00e0814cab4e）	Nessus	FreeBSD Local Security Checks	2014/8/22	2021/1/6	medium
77344	Debian DSA-3010-1：python-django - セキュリティ更新	Nessus	Debian Local Security Checks	2014/8/23	2021/1/11	medium
77592	Fedora 19：python-django-1.5.9-1.fc19（2014-9791）	Nessus	Fedora Local Security Checks	2014/9/10	2021/1/11	medium
77658	Mandriva Linux セキュリティアドバイザリ：python-django（MDVSA-2014:179）	Nessus	Mandriva Local Security Checks	2014/9/12	2021/1/6	medium
77718	openSUSE のセキュリティ更新：python-django（openSUSE-SU-2014:1132-1）	Nessus	SuSE Local Security Checks	2014/9/17	2021/1/19	critical

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

critical