DjangoがTruncator関数を不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用してDjangoにリソースを消費させ、サービス拒否を引き起こす可能性があります。
(CVE-2019-14232)

Djangoがstrip_tags関数を不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用してDjangoにリソースを消費させ、サービス拒否を引き起こす可能性があります。
(CVE-2019-14233)

DjangoがPostgreSQLサポートの特定のルックアップを不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用して、SQL インジェクション攻撃を仕掛ける可能性があります。(CVE-2019-14234)

Djangoが特定の無効なUTF-8オクテットシーケンスを不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用してDjangoにリソースを消費させ、サービス拒否を引き起こす可能性があります。
(CVE-2019-14235)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2020: 4390のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Django: HTTPS経由のリバースプロキシ接続での不適切なHTTP検出（CVE-2019-12781）

  - Django: django.utils.text.Truncatorの正規表現でのバックトラックにより引き起こされるDoS（CVE-2019-14232）

  - Django: DoSを引き起こす下層のHTMLParserの動作（CVE-2019-14233）

  - Django: JSONField/HStoreFieldのキーおよびインデックス検索におけるSQLインジェクションの可能性（CVE-2019-14234）

  - Django: django.utils.encoding.uri_to_iri()のメモリ枯渇の可能性（CVE-2019-14235）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020: 1324のアドバイザリ記載された複数の脆弱性の影響を受けます。

  - Django: HTTPS経由のリバースプロキシ接続での不適切なHTTP検出（CVE-2019-12781）

  - Django: django.utils.text.Truncatorの正規表現でのバックトラックにより引き起こされるDoS（CVE-2019-14232）

  - Django: DoSを引き起こす下層のHTMLParserの動作（CVE-2019-14233）

  - Django: JSONField/HStoreFieldのキーおよびインデックス検索におけるSQLインジェクションの可能性（CVE-2019-14234）

  - Django: django.utils.encoding.uri_to_iri()のメモリ枯渇の可能性（CVE-2019-14235）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Web開発フレームワークであるpython-django に、いくつかの脆弱性が見つかりました。これにより、リモートのサービス拒否またはSQLインジェクションが発生する可能性があります。

Djangoリリースノート：

CVE-2019-14232:django.utils.text.Truncatorでのサービス拒否の可能性

django.utils.text.Truncatorのchars()およびwords()メソッドにhtml=True引数が渡されると、正規表現の壊滅的なバックトラッキングの脆弱性が原因で、これらのメソッドによる特定の入力の評価に非常に長い時間がかかります。chars()およびword()メソッドは、truncatechars_htmlおよびtruncatewords_htmlテンプレートフィルターを実装するために使用されますが、これらのフィルターが脆弱でした。

潜在的なバックトラッキングの問題を回避するために、Truncatorが使用する正規表現が簡素化されました。その結果、切り捨てられた出力に末尾の句読点が含まれることがあります。

CVE-2019-14233:strip_tags（）でのサービス拒否の可能性

下層にあるHTMLParserの動作が原因で、django.utils.html.strip_tags（）による、ネスト化された不完全なHTMLエンティティの大きなシーケンスを含む特定の入力の評価に、非常に時間がかかります。strip_tags()メソッドは、対応するstriptagsテンプレートフィルターを実装するために使用されますが、このフィルターも脆弱でした。

strip_tags()は、タグの削除が進行中の場合にHTMLParserの再帰呼び出しを回避するようになりましたが、HTMLエンティティは不完全である必要があり、停止が実行されます。

strip_tags()の結果がHTMLセーフであることは一切保証されない点に注意してください。したがって、strip_tags()呼び出しの結果を、最初にdjango.utils.html.escape()などでエスケープすることなく、安全としてマークしないでください。

CVE-2019-14234:JSONField/HStoreFieldのキーおよびインデックス検索でのSQLインジェクションの可能性

JSONFieldのキーおよびインデックス検索とHStoreFieldのキー検索は、**kwargsとしてQuerySet.filter()に渡される、ディクショナリ拡張により適切に細工されたディクショナリを使用したSQLインジェクションの影響を受けます。

CVE-2019-14235:django.utils.encoding.uri_to_iri()でのメモリ枯渇の可能性

django.utils.encoding.uri_to_iri()に特定の入力が渡されると、無効なUTF-8オクテットシーケンスの再パーセントエンコーディング時に、過剰な再帰が原因で大量のメモリが使用される可能性があります。

uri_to_iri()では、無効なUTF-8オクテットシーケンスの再パーセントエンコーディング時に再帰が回避されるようになりました。

14235に対するCVE-2019-14232の修正

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

python-Django用のこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

	 - CVE-2019-11358：プロトタイプ汚染を修正しました。

  - CVE-2019-12308：AdminURLFieldWidgetのXSSを修正しました（bsc#1136468）

  - CVE-2019-12781：HTTPS経由のリバースプロキシ接続での不適切なHTTP検出を修正しました（bsc#1139945）。

  - CVE-2019-14232：「django.utils.text.Truncator」でのサービス拒否の可能性を修正しました（bsc#1142880）。

  - CVE-2019-14233：「strip_tags()」でのサービス拒否の可能性を修正しました（bsc#1142882）。

  - CVE-2019-14234：「JSONField」/「HStoreField」のキーおよびインデックス検索におけるSQLインジェクションの可能性を修正しました（bsc#1142883）。

  - CVE-2019-14235：「django.utils.encoding.uri_to_iri()」のメモリ枯渇の可能性を修正しました（bsc#1142885）。

セキュリティ以外の修正された問題：

  - 式の右側が同じ型である場合に、DateRangeFieldまたはDateTimeRangeFieldのcontains検索でチェック制約を追加するとPostgreSQLで移行がクラッシュする問題を修正しました。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
127801	Ubuntu 16.04LTS / 18.04LTS: Django の脆弱性 (USN-4084-1)	Nessus	Ubuntu Local Security Checks	2019/8/12	2023/10/21	critical
142030	RHEL 7: python-django（RHSA-2020: 4390)	Nessus	Red Hat Local Security Checks	2020/10/29	2024/4/28	critical
170305	RHEL 8: python-django（RHSA-2020: 1324)	Nessus	Red Hat Local Security Checks	2023/1/23	2023/5/25	critical
127822	DebianDSA-4498-1: python-django - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/8/13	2024/5/3	critical
127547	FreeBSD：Django -- 複数の脆弱性（6e65dfea-b614-11e9-a3a2-1506e15611cc）	Nessus	FreeBSD Local Security Checks	2019/8/12	2024/5/7	critical
127936	Fedora 30：python-django（2019-647f74ce51）	Nessus	Fedora Local Security Checks	2019/8/20	2024/5/2	critical
127742	openSUSEセキュリティ更新プログラム：python-Django（openSUSE-2019-1839）	Nessus	SuSE Local Security Checks	2019/8/12	2024/5/6	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical