セキュリティ問題と非セキュリティバグを修正するため、python-django が 1.6.11 に更新されました。

次の脆弱性が修正されました：

- is_safe_url() に、ユーザー提供のリダイレクト URL を介した XSS 攻撃の可能性を緩和するため、制御文字で開始する URL を拒否させました（bnc#923176、CVE-2015-2317）

- strip_tags() の無限ループの可能性を修正しました（bnc#923172、CVE-2015-2316）

- アンダースコア/ダッシュ合成を介する WSGI ヘッダーのなりすまし（bnc#913053、CVE-2015-0219）

- ユーザー提供のリダイレクト URL を介した XSS 攻撃の可能性を緩和しました

- 「django.views.static.serve」に対する DoS 攻撃（サービス拒否攻撃）（bnc#913056、CVE-2015-0221）

- 「ModelMultipleChoiceField」を含むデータベースサービス拒否（bnc#913055、CVE-2015-0222）

この更新には、非セキュリティバグ、機能性および安定性に対する問題の修正も含まれています。

更新済み python-django パッケージにより、次記のセキュリティ脆弱性が修正されます：

Jedediah Smith 氏は、Django が WSGI ヘッダー内のアンダースコアを間違って処理していることを発見しました。リモートの攻撃者が、この問題を利用して、特定の環境でヘッダーを偽造する可能性があります（CVE-2015-0219）。

Mikko Ohtamaa 氏は、Django がユーザー指定のリダイレクト URL を不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、クロスサイトスクリプティング攻撃を仕掛ける可能性があります（CVE-2015-0220）。

Alex Gaynor 氏は、Django が django.views.static.serve() でファイルの読み取りを不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、 Django にリソースを消費させ、サービス拒否を引き起こす可能性があります（CVE-2015-0221）。

Keryn Knight 氏は、Django が ModelMultipleChoiceField でフォームを不適切に処理することを発見しました。リモートの攻撃者が、この問題を利用することにより、 SQL クエリを大量に発行することで、データベースをサービス拒否にしてしまう可能性があります。注意：この問題の影響を受けるのは、python-django のみです（CVE-2015-0222）。

1.7.6 より前の Django および 1.8b2 より前の 1.8 の Django における admin/helpers.py のコンテンツ機能のクロスサイトスクリプティング（XSS）の脆弱性により、リモート攻撃者が、\@property で示されているように、ModelAdmin.readonly_fields のモデル属性を通して任意の Web スクリプトまたは HTML を注入する可能性があります（CVE-2015-2241）。

特定の Python バージョンを使用する際に、1.6.11 より前の Django 1.6.x、1.7.7 より前の Django 1.7.x、1.8c1 より前の Django 1.8.x の utils.html.strip_tags 関数により、リモートの攻撃者が、入力文字列の長さを大きくして、サービス拒否（無限ループ）を引き起こす可能性があります（CVE-2015-2316）。

1.4.20 より前、1.5.x、1.6.11 より前の 1.6.x、1.7.7 より前の 1.7.x、および 1.8c1 より前の 1.8. x の Django にある utils.http.is_safe_url 関数が適切に URL を検証しないため、\x08javascript で示されているように、URL の制御文字により、リモートの攻撃者が、クロスサイトスクリプティング（XSS）攻撃を仕掛ける可能性があります：(CVE-2015-2317)。

Jedediah Smith 氏は、Django が WSGI ヘッダー内のアンダースコアを間違って処理していることを発見しました。リモートの攻撃者は、この問題を利用して、ある特定の環境でヘッダーを偽装する可能性があります。(CVE-2015-0219)

Mikko Ohtamaa 氏は、Django がユーザー指定のリダイレクト URL を不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、クロスサイトスクリプティング攻撃を仕掛ける可能性があります。(CVE-2015-0220)

Alex Gaynor 氏は、Django が django.views.static.serve() でファイルの読み取りを不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、Django にリソースを消費させ、サービス拒否を引き起こす可能性があります。(CVE-2015-0221)

Keryn Knight 氏は、Django が ModelMultipleChoiceField でフォームを不適切に処理することを発見しました。リモートの攻撃者が、この問題を利用することにより、SQL クエリを大量に発行することで、データベースをサービス拒否にしてしまう可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTSとUbuntu 14.10のみです。(CVE-2015-0222)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CVE-2015-0219（rhbz#1181939）を修正します

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

複数の CVE を修正する 1.4.18 に更新してください

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

USN-2469-1 は、Django での脆弱性を修正しています。CVE-2015-0221 のセキュリティ修正により、Ubuntu 10.04 LTS および Ubuntu 12.04 LTS に GZipMiddleware を通じて静的コンテンツを提供するときの回帰が導入されました。この更新により問題が修正されます。

ご面倒をお掛けして申し訳ございません。

Jedediah Smith 氏は、Django が WSGI ヘッダー内のアンダースコアを間違って処理していることを発見しました。リモートの攻撃者は、この問題を利用して、ある特定の環境でヘッダーを偽装する可能性があります。(CVE-2015-0219)

Mikko Ohtamaa 氏は、Django がユーザー指定のリダイレクト URL を不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、クロスサイトスクリプティング攻撃を仕掛ける可能性があります。(CVE-2015-0220)

Alex Gaynor 氏は、Django が django.views.static.serve() でファイルの読み取りを不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、Django にリソースを消費させ、サービス拒否を引き起こす可能性があります。
(CVE-2015-0221)

Keryn Knight 氏は、Django が ModelMultipleChoiceField でフォームを不適切に処理することを発見しました。リモートの攻撃者が、この問題を利用することにより、 SQL クエリを大量に発行することで、データベースをサービス拒否にしてしまう可能性があります。この問題により影響を受けるのは、Ubuntu 14.04 LTS および Ubuntu 14.10 のみです。
（CVE-2015-0222）。

更新済み python-django パッケージにより、次記のセキュリティ脆弱性が修正されます：

Jedediah Smith 氏は、Django が WSGI ヘッダー内のアンダースコアを間違って処理していることを発見しました。リモートの攻撃者が、この問題を利用して、特定の環境でヘッダーを偽造する可能性があります（CVE-2015-0219）。

Mikko Ohtamaa 氏は、Django がユーザー指定のリダイレクト URL を不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、クロスサイトスクリプティング攻撃を仕掛ける可能性があります（CVE-2015-0220）。

Alex Gaynor 氏は、Django が django.views.static.serve() でファイルの読み取りを不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、 Django にリソースを消費させ、サービス拒否を引き起こす可能性があります（CVE-2015-0221）。

Django プロジェクトによる報告：

現在、Django チームは、セキュリティプロセスの一環として、次の複数のリリースを発行しています - Django 1.4.18、Django 1.6.10、および Django 1.7.3。
これらのリリースは、PyPI と弊社のダウンロードページで現在利用可能です。

これらのリリースは、いくつかのセキュリティ問題に対処します。Django の全ユーザーは、できる限り早くアップグレードすることが推奨されます。

ハイレベルな Python Web 開発フレームワーク Django に、いくつかの脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2015-0219 Jedediah Smith 氏は、Django の WSGI 環境が、ダッシュを含むヘッダーとアンダースコアを含むヘッダーを区別していないことを報告しました。リモートの攻撃者が、この欠陥を利用して、WSGI ヘッダーを偽装する可能性があります。

- CVE-2015-0220 Mikko Ohtamaa 氏は、Django の django.util.http.is_safe_url() 関数が、ユーザー指定のリダイレクト URL にある先頭の空白を適切に処理していないことを発見しました。リモートの攻撃者が、この欠陥を利用して、クロスサイトスクリプティング攻撃を実行する可能性があります。

- CVE-2015-0221 Alex Gaynor 氏は、Django が django.views.static.serve() ビューで読み込みファイルを処理する方法における欠陥を報告しました。リモートの攻撃者が、この欠陥を利用して、リソース消費によりサービス拒否を仕掛ける可能性があります。

Django で複数のセキュリティ問題が見つかりました：
https://www.djangoproject.com/weblog/2015/jan/13/security/

Debian 6 Squeeeze では、これらは、バージョン 1.2.3-3+squeeze12 of python-django で修正されています。ここに、それらの問題に関して Upstream 開発者が言うべきことが記載されています：

CVE-2015-0219 - アンダースコア/ダッシュ合成を介する WSGI ヘッダーのなりすまし

HTTP ヘッダーが WSGI 環境に配置される場合、大文字に変換すること、すべてのダッシュを下線に変換することで正規化され、HTTP_ が仮装されます。たとえば、WSGI 環境ではヘッダー X-Auth-Use は、HTTP_X_AUTH_USER となります（またこのため Django の request.META 辞書でもこうなります）。

残念ながら、これは、WSGI 環境はダッシュを含むヘッダーと下線を含むヘッダーを区別できないことを意味します。つまり X-Auth-User も X-Auth_User も両方とも HTTP_X_AUTH_USER になります。これは、ヘッダーがセキュリティを重視する方法で使用される場合（たとえば、フロントエンドプロキシから認証情報を渡すなど）、プロキシが慎重に X-Auth-User への着信値を取り去っても、攻撃者は X-Auth_User ヘッダー（下線付き）を提供してこの保護をバイパスする可能性があることを意味します。

こうした攻撃を防止するために、Nginx と Apache 2.4+ の両方が、デフォルトで着信リクエストから下線を含むすべてのヘッダーを取り去ります。Django の内蔵開発サーバーは今では同じことを実行しています。Django の開発サーバーは、実稼働使用には推奨されませんが、一般の実サーバーの動作を一致させることで、展開中の動作の表面エリアの変化が減少します。

CVE-2015-0220 - ユーザー提供のリダイレクト URL を介する XSS 攻撃の可能性

Django は、一部の場合に（たとえば、django.contrib.auth.views.login() や i18n など）ユーザー入力に依存して、ユーザーを「成功時の」URL にリダイレクトします。これらのリダイレクト用のセキュリティチェック（すなわち django.util.http.is_safe_url()）では、テストされた URL の先行する空白を取り去らず、「\njavascript:...」などの URL が安全であると見なされていました。
開発者が is_safe_url() に依存して安全なリダイレクトターゲットを提供し、こうした URL をリンクにプッシュする場合、XSS 攻撃を受ける可能性がありました。我々はこの URL を Location 応答ヘッダーのみに配置し、ブラウザはそこの JavaScript を無視するようなので、このバグは現在 Django に影響しません。

CVE-2015-0221 - django.views.static.serve に対する DoS 攻撃（サービス拒否攻撃）

Django のより古いバージョンでは、django.views.static.serve() ビューが、それが提供したファイルを一度に 1 行ずつ読み取ります。このため、改行のない大きなファイルでは、メモリ使用量がそのファイルのサイズに等しくなります。
攻撃者がこの攻撃を悪用して、多くの大きなファイルを同時にリクエストすることで、DoS 攻撃（サービス拒否攻撃）を実行する可能性がありました。このビューは今ではファイルをチャンクで読み取るため、大きなメモリ使用が回避されています。

注意：ただし、このビューは常に警告を表示し、実稼働使用のために強化されておらず、開発支援のみで使用すべきことが示されます。まだそうしていないなら、今はプロジェクトを監査して、実際のフロントエンド Web サーバーを使用する実稼働環境でファイルを提供する良い機会です。

注意：Debian 6 Squeeze で使用される Django のバージョンは、その機能がこのバージョンには存在しないために、CVE-2015-0222（ModelMultipleChoiceField によるデータベースのサービスサービス拒否）に影響されませんでした。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

python-django は、auth 表示モジュールにおいて起こり得るリモートのサービス拒否（リソース消費）を修正するために更新されています。（bsc#941587、CVE-2015-5963）

また、ユーザー指定のリダイレクト URL を介する XSS 攻撃の可能性を緩和するために、is_safe_url() が制御文字で開始する URL を拒否するようになりました（bnc#923176、CVE-2015-2317）。

- check_for_test_cookie メソッドが非推奨になります、bnc#914706

- 多様なセキュリティ修正のあるバージョン 1.5.12 に更新してください：

+ 動的に生成されたインラインで回帰が修正され、管理者のフィールド参照が可能になりました

+ 関連する多対多フィールドを管理者が参照できるようにしました

+ 管理者フィールドへのインラインおよび非表示の参照ができるようにしました

ID	名前	製品	ファミリー	公開日	更新日	深刻度
82515	openSUSE セキュリティ更新：python-Django（openSUSE-2015-281）	Nessus	SuSE Local Security Checks	2015/4/2	2021/1/19	medium
82362	Mandriva Linux セキュリティアドバイザリ：python-django（MDVSA-2015:109）	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium
80516	Ubuntu 14.04 LTS : Django の脆弱性 (USN-2469-1)	Nessus	Ubuntu Local Security Checks	2015/1/14	2023/10/20	medium
80975	Fedora 21：python-django-1.6.10-1.fc21（2015-0714）	Nessus	Fedora Local Security Checks	2015/1/26	2021/1/11	medium
81008	Fedora 20： python-django14-1.4.18-1.fc20（2015-0804）	Nessus	Fedora Local Security Checks	2015/1/27	2021/1/11	medium
81007	Fedora 20：python-django-1.6.10-1.fc20（2015-0790）	Nessus	Fedora Local Security Checks	2015/1/27	2021/1/11	medium
81177	Ubuntu 10.04 LTS/12.04 LTS：python-django の回帰（USN-2469-2）	Nessus	Ubuntu Local Security Checks	2015/2/5	2021/1/19	medium
81236	Mandriva Linux セキュリティアドバイザリ：python-django（MDVSA-2015:036）	Nessus	Mandriva Local Security Checks	2015/2/9	2021/1/6	medium
80983	FreeBSD：django -- 複数の脆弱性（9c7b6c20-a324-11e4-879c-00e0814cab4e）	Nessus	FreeBSD Local Security Checks	2015/1/26	2021/1/6	medium
81131	Debian DSA-3151-1：python-django - セキュリティ更新	Nessus	Debian Local Security Checks	2015/2/3	2021/1/11	medium
82126	Debian DLA-143-1：python-django セキュリティ更新	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	medium
86091	openSUSE セキュリティ更新：python-django（openSUSE-2015-598）	Nessus	SuSE Local Security Checks	2015/9/23	2021/1/19	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium