1.8.7 へ更新し、CVE-2015-8213 を修正（rhbz#1285278）---- python- django-1.8.4-1.fc22 - python 実行可能ファイルの　bash completion をインストールしません（Ville Skytta 氏、rhbz#1253076）- CVE-2015-5963 セッションストアに入力することにより logout() ビューで発生するサービス拒否の可能性（rhbz#1254911）- CVE-2015-5964 セッションストアに入力することにより logout() ビューで発生するサービス拒否の可能性（rhbz#1252891）python-django-1.8.4-1.fc23 - python 実行可能ファイルの　bash completion をインストールしません（Ville Skytta 氏、rhbz#1253076）- CVE-2015-5963 セッションストアに入力することにより logout() ビューで発生するサービス拒否の可能性（rhbz#1254911）- CVE-2015-5964 セッションストアに入力することにより logout() ビューで発生するサービス拒否の可能性（rhbz#1252891）

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

この更新は CVE-2015-8213 を修正します：日付テンプレートフィルターでの設定漏洩の可能性を修正しました。詳細については、https://www.djangoproject.com/weblog/2015/nov/24/security-releases-iss ued/ を参照してください

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Ryan Butterfield 氏は、Django が日付テンプレートフィルターを不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、アプリケーション設定から機密情報を取得する可能性があります。

注意: Tenable Network Security は、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Web 開発フレームワークである Django　の日付テンプレートフィルターに潜在的な設定漏洩が存在することが判明しました。

アプリケーションがユーザーに日付の無効な形式の特定を可能にさせ、この形式を {{last_updated|date:user_date_format }} などの日付フィルターに渡す場合、'j/m/Y’の代わりに 'SECRET_KEY’など、日付形式ではなく設定キーを特定することにより、悪意のあるユーザーがアプリケーション設定内の機密を取得する恐れがあります。

これを修正するため、日付テンプレートフィルターにより使用される下層関数 django.utils.formats.get_format() は現在、日/時形式の設定へのアクセスのみを許可しています。

Debian 6 Squeeze では、この問題は python-django バージョン 1.2.3-3+squeeze15 で修正されています。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

python-django パッケージが更新され、次のセキュリティ問題が修正されました：

- CVE-2015-8213：問題を修正して、日付テンプレートフィルターで設定が漏洩されないようにしました（bnc#955412）

以下は、Tim Graham 氏の報告です：

アプリケーションがユーザーに日付の無効な形式の特定を可能にさせ、この形式を {{last_updated|date:user_date_format }} などの日付フィルターに渡す場合、'j/m/Y’の代わりに 'SECRET_KEY’など、日付形式ではなく設定キーを特定することにより、悪意のあるユーザーがアプリケーション設定内の機密を取得する恐れがあります。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2016:0129 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Django は、迅速な開発とクリーンで実用的なデザインを促進する、高レベルの Python Web フレームワークです。可能な限り自動化して、DRY (Don't Repeat Yourself) 原則に従うことに重点を置いています。

    情報が露出する欠陥が Django 日付フィルターで見つかりました。アプリケーションによってユーザーが検証されていない日付形式を提供できる場合、悪意のあるエンドユーザーは有効な日付形式の代わりに関連するアプリケーション設定キーを提供することで、アプリケーション設定データを漏洩する可能性があります。
    (CVE-2015-8213)

    Red Hat は、この問題を報告してくれた Django プロジェクトに感謝の意を表します。
    アップストリームは、Ryan Butterfield 氏を最初の報告者として認めています。

    すべての python-django ユーザーは、バックポートされたパッチを含む前述の更新済みパッケージにアップグレードし、この問題を解決することをお勧めしています。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Ryan Butterfield 氏は、高レベルの Python Web 開発フレームワークである python-django の日付テンプレートフィルターの脆弱性を発見しました。リモートの攻撃者がこの欠陥を利用して、アプリケーションの設定から機密情報を取得する可能性があります。

python-Django パッケージが更新され、次のセキュリティ問題が修正されました：

- CVE-2015-8213：問題を修正して、日付テンプレートフィルターで設定が漏洩されないようにしました（bnc#955412）。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
89201	Fedora 22：python-django-1.8.7-1.fc22（2015-323274d412）	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	medium
89358	Fedora 23：python-django-1.8.7-1.fc23（2015-a8c8f60fbd）	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	medium
87065	Ubuntu 14.04 LTS: Django の脆弱性 (USN-2816-1)	Nessus	Ubuntu Local Security Checks	2015/11/25	2024/8/28	medium
87070	Debian DLA-349-1：python-django セキュリティ更新	Nessus	Debian Local Security Checks	2015/11/30	2021/1/11	medium
87438	openSUSE セキュリティ更新：python-django（openSUSE-2015-860）	Nessus	SuSE Local Security Checks	2015/12/17	2021/1/19	medium
87114	FreeBSD：django -- 情報漏洩の脆弱性（11c52bc6-97aa-11e5-b8df-14dae9d210b8）	Nessus	FreeBSD Local Security Checks	2015/12/1	2021/1/6	medium
210213	RHEL 7 : python-django (RHSA-2016:0129)	Nessus	Red Hat Local Security Checks	2024/11/4	2024/11/4	medium
87077	Debian DSA-3404-1：python-django - セキュリティ更新	Nessus	Debian Local Security Checks	2015/11/30	2021/1/11	medium
87439	openSUSE セキュリティ更新：python-Django（openSUSE-2015-862）	Nessus	SuSE Local Security Checks	2015/12/17	2021/1/19	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium