リモート Redhat Enterprise Linux 7 ホストに、RHSA-2016:0505 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Django は、迅速な開発とクリーンで実用的なデザインを促進する、高レベルの Python Web フレームワークです。可能な限り自動化して、DRY (Don't Repeat Yourself) 原則に従うことに重点を置いています。

    セキュリティ修正プログラム: 

    * Django の django.utils.http.is_safe_url() 関数が認証 URL をフィルタリングする方法で、オープンリダイレクトの欠陥が見つかりました。被害者をだまして細工した URL にアクセスさせられる攻撃者は、この欠陥を利用して、その被害者を悪意のあるサイトにリダイレクトする可能性があります。(CVE-2016-2512)

    * Django の PBKDF2PasswordHasher がパスワードハッシュ化を実行する方法で、タイミング攻撃の欠陥が検出されました。
    古いバージョンの PBKDF2PasswordHasher でハッシュされたパスワードは、ハッシュの反復回数を減らしていたため、攻撃者が、ログインリクエストの時間差に基づいて既存のユーザーを列挙することが可能でした。
    (CVE-2016-2513)

    Red Hat は、これらの問題を報告してくれた Django プロジェクトに感謝の意を表します。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

1.8.10 の回帰を修正 ---- 1.8.10 へ更新し、CVE-2016-2512、CVE-2016-2513 を修正します

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

このpython-Djangoのバージョン1.18.18への更新では、複数の問題が修正されます。修正されたセキュリティ問題：

  - CVE-2018-7537：django.utils.text.Truncatorでの壊滅的なバックトラッキングを修正しました。（bsc#1083305）

  - CVE-2018-7536：urlizeおよびurlizetruncテンプレートフィルターでの壊滅的なバックトラッキングを修正しました（bsc#1083304）。

  - CVE-2016-7401：Googleアナリティクスを使用したサイトでのCSRF保護バイパス（bsc#1001374）。

  - CVE-2016-2513：パスワードハッシャーワークファクタアップグレード時の時間差を介したユーザー列挙（bsc#968000）。

  - CVE-2016-2512：基本認証を含むユーザー指定のリダイレクトURLを介した悪意のあるリダイレクトと潜在的なXSS攻撃を修正しました（bsc#967999）。

  - CVE-2016-9013：Oracle上でテストを実行したときに作成されるハードコードされたパスワードを持つユーザー（bsc#1008050）。

  - CVE-2016-9014：DEBUG=Trueの場合のDNSリバインドの脆弱性（bsc#1008047）。

  - CVE-2017-7234：django.views.static.serve()のオープンリダイレクトの脆弱性（bsc#1031451）。

  - CVE-2017-7233：ユーザーが提供した数字からなるリダイレクトURLを介したオープンリダイレクトとXSS攻撃の可能性（bsc#1031450）。

  - CVE-2017-12794：テクニカル500デバッグページのトレースバックセクションにおけるXSSの可能性を修正しました（bsc#1056284）

Mark Striemer 氏は、Django が基本的な認証証明書を含むユーザー指定のリダイレクト URL を不適切に処理していることを発見しました。リモートの攻撃者がこの問題を利用して、クロスサイトスクリプティング攻撃または悪意のあるリダイレクトを実行する可能性があります。(CVE-2016-2512)

Sjoerd Job Postmus 氏は、Django がパスワードハッシュ化操作を実行している際にタイミングを不適切に処理していることを発見しました。リモートの攻撃者がこの問題を利用して、ユーザー列挙を実行する可能性があります。(CVE-2016-2513)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このpython-Djangoのバージョン1.18.18への更新では、複数の問題が修正されます。修正されたセキュリティ問題：

  - CVE-2018-7537：django.utils.text.Truncatorでの壊滅的なバックトラッキングを修正しました。（bsc#1083305）

  - CVE-2018-7536：urlizeおよびurlizetruncテンプレートフィルターでの壊滅的なバックトラッキングを修正しました（bsc#1083304）。

  - CVE-2016-7401：Googleアナリティクスを使用したサイトでのCSRF保護バイパス（bsc#1001374）。

  - CVE-2016-2513：パスワードハッシャーワークファクターアップグレード時の時間差を介したユーザー列挙（bsc#968000）。

  - CVE-2016-2512：基本認証を含むユーザー指定のリダイレクトURLを介した悪意のあるリダイレクトと潜在的なXSS攻撃を修正しました（bsc#967999）。

  - CVE-2016-9013：Oracle上でテストを実行したときに作成されるハードコードされたパスワードを持つユーザー（bsc#1008050）。

  - CVE-2016-9014：DEBUG=Trueの場合のDNSリバインドの脆弱性（bsc#1008047）。

  - CVE-2017-7234：django.views.static.serve()のオープンリダイレクトの脆弱性（bsc#1031451）。

  - CVE-2017-7233：ユーザーが提供した数字からなるリダイレクトURLを介したオープンリダイレクトとXSS攻撃の可能性（bsc#1031450）

  - CVE-2017-12794：テクニカル500デバッグページのトレースバックセクションにおけるXSSの可能性を修正しました（bsc#1056284）

以下は、Tim Graham 氏の報告です：

Basic 認証を含むユーザー指定のリダイレクト URL を通じて引き起こされる、悪意のあるリダイレクトと潜在的な XSS 攻撃

パスワードハッシャーワークファクターアップグレード時の時間差を通じて行われるユーザーの列挙

ハイレベルな Python Web 開発フレームワーク Django に、いくつかの脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2016-2512 Mark Striemer 氏は、基本的な認証証明書を含む一部のユーザー指定のリダイレクト URL が不適切に処理されていることを発見しました。これにより、リモートの攻撃者が、悪意のあるリダイレクトまたはクロスサイトスクリプティング攻撃を行う可能性があります。

- CVE-2016-2513 Sjoerd Job Postmus 氏は、Django により、パスワードハッシャー要素の更新時に、時間差を通じたユーザー列挙を行うことが可能であることを発見しました。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
210163	RHEL 7 : python-django (RHSA-2016:0505)	Nessus	Red Hat Local Security Checks	2024/11/4	2025/4/15	medium
90015	Fedora 22：python-django-1.8.11-1.fc22（2016-b004d6d8f7）	Nessus	Fedora Local Security Checks	2016/3/18	2021/1/11	high
108640	openSUSEセキュリティ更新プログラム：python-Django（openSUSE-2018-317）	Nessus	SuSE Local Security Checks	2018/3/27	2024/12/4	critical
89079	Ubuntu 14.04 LTS : Django の脆弱性 (USN-2915-1)	Nessus	Ubuntu Local Security Checks	2016/3/2	2024/8/27	high
90012	Fedora 23：python-django-1.8.11-1.fc23（2016-11183ea08d）	Nessus	Fedora Local Security Checks	2016/3/18	2021/1/11	high
108641	openSUSEセキュリティ更新プログラム：python3-Django（openSUSE-2018-318）	Nessus	SuSE Local Security Checks	2018/3/27	2024/12/4	critical
89728	FreeBSD：django -- 複数の脆弱性（f9e6c0d1-e4cc-11e5-b2bd-002590263bf5）	Nessus	FreeBSD Local Security Checks	2016/3/8	2021/1/4	high
90409	Debian DSA-3544-1：python-django - セキュリティ更新	Nessus	Debian Local Security Checks	2016/4/8	2021/1/11	high

検出

プラグインの検索

medium

high

critical

high

high

critical

high

high