リバースプロキシがHTTPS経由で接続された場合、Django Python Web開発フレームワークがHTTP接続を正しく認識しないことが判明しました。

HTTPS経由でDjangoに接続するリバースプロキシの裏でデプロイする場合、django.http.HttpRequest.schemeが、HTTPSを使用しているHTTP経由で行われたクライアントリクエストを不適切に検出していました。これにより、is_secure()およびbuild_absolute_uri()の結果が不正確になり、HTTPリクエストがSECURE_SSL_REDIRECTに従ってHTTPSにリダイレクトされませんでした。

HttpRequest.schemeは、HTTPおよびHTTPS両方のリクエストに対してSECURE_PROXY_SSL_HEADERが構成され、適切なヘッダーが設定されている場合、これを尊重するようになりました。

HTTPリクエストを転送し、HTTPS経由でDjangoに接続するリバースプロキシの裏でDjangoをデプロイする場合は、アプリケーションがスキーム、is_secure()、build_absolute_uri()、およびSECURE_SSL_REDIRECTに依存するコードパスを正しく処理することを確認してください。

Debian 8「Jessie」では、この問題はpython-djangoバージョン1.7.11-1+deb8u6で修正されました。

python-djangoパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの openSUSE 15 ホストには、SUSE-SU-2024:2817-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    CVE-2024-42005: QuerySet.values() および values_list() における SQL インジェクションを修正 (bsc#1228629)
    - CVE-2024-41989: django.utils.numberformat.floatformat() におけるメモリ枯渇を修正 (bsc#1228630)
    - CVE-2024-41990: django.utils.html.urlize() のサービス拒否の脆弱性を修正 (bsc#1228631)
    - CVE-2024-41991: django.utils.html.urlize() のその他のサービス拒否の脆弱性を修正 (bsc#1228632)
    - CVE-2022-28346: QuerySet.annotate()、aggregate() および extra() での SQL インジェクションを修正 (bsc#1198398)
    - CVE-2019-12308: AdminURLFieldWidget の XSS を修正 (bsc#1136468)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Django Web開発フレームワークで、クロスサイトスクリプティング（XSS）の脆弱性が見つかりました。

Debian 8「Jessie」では、この問題はpython-djangoバージョン1.7.11-1+deb8u5で修正されました。

お使いのpython-djangoパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

PythonのWeb開発フレームワークであるDjangoに3つのセキュリティ問題が発見されました。このため、サービス拒否、クリック可能なリンクの不完全なサニタイズ、またはHTTPリクエストのHTTPSへのリダイレクトの欠如が発生する可能性があります。

python-Django用のこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

	 - CVE-2019-11358：プロトタイプ汚染を修正しました。

  - CVE-2019-12308：AdminURLFieldWidgetのXSSを修正しました（bsc#1136468）

  - CVE-2019-12781：HTTPS経由のリバースプロキシ接続での不適切なHTTP検出を修正しました（bsc#1139945）。

  - CVE-2019-14232：「django.utils.text.Truncator」でのサービス拒否の可能性を修正しました（bsc#1142880）。

  - CVE-2019-14233：「strip_tags()」でのサービス拒否の可能性を修正しました（bsc#1142882）。

  - CVE-2019-14234：「JSONField」/「HStoreField」のキーおよびインデックス検索におけるSQLインジェクションの可能性を修正しました（bsc#1142883）。

  - CVE-2019-14235：「django.utils.encoding.uri_to_iri()」のメモリ枯渇の可能性を修正しました（bsc#1142885）。

セキュリティ以外の修正された問題：

  - 式の右側が同じ型である場合に、DateRangeFieldまたはDateTimeRangeFieldのcontains検索でチェック制約を追加するとPostgreSQLで移行がクラッシュする問題を修正しました。

2.1.9に更新してください

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Djangoセキュリティリリースを発行: 

AdminURLFieldWidgetによって生成されるクリック可能な「Current URL」リンクが、指定される値を、安全なURLとしての検証を行わずに表示します。
このため、データベースに保存されている未検証の値、またはURLクエリパラメーターペイロードとして指定された値が原因で、クリック可能なJavaScriptリンクが生成される可能性があります。

Object.prototypeが汚染されているため、3.4.0より前のjQueryはjQuery.extend(true,{}, ...)を誤って処理します。サニタイズされていないソースオブジェクトに列挙可能な__proto__プロパティが含まれている場合は、標準のObject.prototypeを拡張できる可能性があります。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Django 1.11.21以前の、1.112.1.9以前の、2.12.2.2以前の 2.2に問題が発見されました。AdminURLFieldWidget によって表示される、クリック可能な [Current URL] の値は、提供された値を安全な URL として検証せずに表示します。そのため、データベースに格納されている検証されていない値、または URL クエリパラメーターペイロードとして提供された値により、クリック可能な JavaScript リンクができる可能性があります。CVE-2019-12308

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Djangoが特定の入力を不適切に処理することがわかりました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。この問題は Ubuntu 18.04 LTS、Ubuntu 18.10 および Ubuntu 19.04.にのみ影響を及ぼしました。
(CVE-2019-12308)

Gavin Wahl氏は、Djangoが特定のリクエストを不適切に処理することを発見しました。攻撃者がこの問題を悪用して、資格情報をバイパスし、管理者インターフェースにアクセスする可能性があります。(CVE-2019-12781)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
126390	DebianDLA-1842-1: python-djangoのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/7/2	2024/5/13	medium
205169	openSUSE 15 セキュリティ更新 : python-Django (SUSE-SU-2024:2817-1)	Nessus	SuSE Local Security Checks	2024/8/8	2024/10/24	critical
125740	DebianDLA-1814-1: python-djangoのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/6/7	2024/5/16	medium
126514	DebianDSA-4476-1: python-django - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/7/8	2024/5/10	medium
127742	openSUSEセキュリティ更新プログラム：python-Django（openSUSE-2019-1839）	Nessus	SuSE Local Security Checks	2019/8/12	2024/5/6	critical
125861	Fedora 30：python-django（2019-57a4324120）	Nessus	Fedora Local Security Checks	2019/6/13	2024/5/16	medium
125750	FreeBSD：Django -- AdminURLFieldWidget XSS（ffc73e87-87f0-11e9-ad56-fcaa147e860e）	Nessus	FreeBSD Local Security Checks	2019/6/7	2024/5/16	medium
255148	Linux Distros のパッチ未適用の脆弱性: CVE-2019-12308	Nessus	Misc.	2025/8/25	2025/8/25	medium
126445	Ubuntu 16.04LTS / 18.04LTS: Django の脆弱性 (USN-4043-1)	Nessus	Ubuntu Local Security Checks	2019/7/2	2025/9/3	medium

検出

プラグインの検索

medium

critical

medium

medium

critical

medium

medium

medium

medium