リバースプロキシがHTTPS経由で接続された場合、Django Python Web開発フレームワークがHTTP接続を正しく認識しないことが判明しました。

HTTPS経由でDjangoに接続するリバースプロキシの裏でデプロイする場合、django.http.HttpRequest.schemeが、HTTPSを使用しているHTTP経由で行われたクライアントリクエストを不適切に検出していました。これにより、is_secure()およびbuild_absolute_uri()の結果が不正確になり、HTTPリクエストがSECURE_SSL_REDIRECTに従ってHTTPSにリダイレクトされませんでした。

HttpRequest.schemeは、HTTPおよびHTTPS両方のリクエストに対してSECURE_PROXY_SSL_HEADERが構成され、適切なヘッダーが設定されている場合、これを尊重するようになりました。

HTTPリクエストを転送し、HTTPS経由でDjangoに接続するリバースプロキシの裏でDjangoをデプロイする場合は、アプリケーションがスキーム、is_secure()、build_absolute_uri()、およびSECURE_SSL_REDIRECTに依存するコードパスを正しく処理することを確認してください。

Debian 8「Jessie」では、この問題はpython-djangoバージョン1.7.11-1+deb8u6で修正されました。

python-djangoパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Django Web開発フレームワークで、クロスサイトスクリプティング（XSS）の脆弱性が見つかりました。

Debian 8「Jessie」では、この問題はpython-djangoバージョン1.7.11-1+deb8u5で修正されました。

お使いのpython-djangoパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

python-Django用のこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

	 - CVE-2019-11358：プロトタイプ汚染を修正しました。

  - CVE-2019-12308：AdminURLFieldWidgetのXSSを修正しました（bsc#1136468）

  - CVE-2019-12781：HTTPS経由のリバースプロキシ接続での不適切なHTTP検出を修正しました（bsc#1139945）。

  - CVE-2019-14232：「django.utils.text.Truncator」でのサービス拒否の可能性を修正しました（bsc#1142880）。

  - CVE-2019-14233：「strip_tags()」でのサービス拒否の可能性を修正しました（bsc#1142882）。

  - CVE-2019-14234：「JSONField」/「HStoreField」のキーおよびインデックス検索におけるSQLインジェクションの可能性を修正しました（bsc#1142883）。

  - CVE-2019-14235：「django.utils.encoding.uri_to_iri()」のメモリ枯渇の可能性を修正しました（bsc#1142885）。

セキュリティ以外の修正された問題：

  - 式の右側が同じ型である場合に、DateRangeFieldまたはDateTimeRangeFieldのcontains検索でチェック制約を追加するとPostgreSQLで移行がクラッシュする問題を修正しました。

PythonのWeb開発フレームワークであるDjangoに3つのセキュリティ問題が発見されました。このため、サービス拒否、クリック可能なリンクの不完全なサニタイズ、またはHTTPリクエストのHTTPSへのリダイレクトの欠如が発生する可能性があります。

Djangoセキュリティリリースを発行: 

AdminURLFieldWidgetによって生成されるクリック可能な「Current URL」リンクが、指定される値を、安全なURLとしての検証を行わずに表示します。
このため、データベースに保存されている未検証の値、またはURLクエリパラメーターペイロードとして指定された値が原因で、クリック可能なJavaScriptリンクが生成される可能性があります。

Object.prototypeが汚染されているため、3.4.0より前のjQueryはjQuery.extend(true,{}, ...)を誤って処理します。サニタイズされていないソースオブジェクトに列挙可能な__proto__プロパティが含まれている場合は、標準のObject.prototypeを拡張できる可能性があります。

2.1.9に更新してください

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Djangoが特定の入力を不適切に処理することがわかりました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。この問題は Ubuntu 18.04 LTS、Ubuntu 18.10 および Ubuntu 19.04.にのみ影響を及ぼしました。
(CVE-2019-12308)

Gavin Wahl氏は、Djangoが特定のリクエストを不適切に処理することを発見しました。攻撃者がこの問題を悪用して、資格情報をバイパスし、管理者インターフェースにアクセスする可能性があります。(CVE-2019-12781)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
126390	DebianDLA-1842-1: python-djangoのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/7/2	2024/5/13	medium
125740	DebianDLA-1814-1: python-djangoのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/6/7	2024/5/16	medium
127742	openSUSEセキュリティ更新プログラム：python-Django（openSUSE-2019-1839）	Nessus	SuSE Local Security Checks	2019/8/12	2024/5/6	critical
126514	DebianDSA-4476-1: python-django - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/7/8	2024/5/10	medium
125750	FreeBSD：Django -- AdminURLFieldWidget XSS（ffc73e87-87f0-11e9-ad56-fcaa147e860e）	Nessus	FreeBSD Local Security Checks	2019/6/7	2024/5/16	medium
125861	Fedora 30：python-django（2019-57a4324120）	Nessus	Fedora Local Security Checks	2019/6/13	2024/5/16	medium
126445	Ubuntu 16.04LTS / 18.04LTS: Django の脆弱性 (USN-4043-1)	Nessus	Ubuntu Local Security Checks	2019/7/2	2023/10/20	medium

検出

プラグインの検索

medium

medium

critical

medium

medium

medium

medium