リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージは、RHSA-2021：3490 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - django：archive.extract()による潜在的なディレクトリトラバーサル(CVE-2021-3281)

  - django：「admindocs」を介したディレクトリトラバーサルの可能性 (CVE-2021-33203)

  - django：バリデーターが IPv4 アドレスの先行ゼロを受け入れていたために発生する可能性がある不確定な SSRF、RFI、および LFI 攻撃 (CVE-2021-33571)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのUbuntu 18.04 LTS/20.04 LTS/20.10/21.04ホストにUSN-4975-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.2.22より前の2.2、3.1.10より前の3.1、3.2.2より前の3.2 (Python 3.9.5+付き) のDjangoでは、URLバリデーターが改行やタブを禁止しません (URLFieldフォームフィールドが使用されている場合を除く)。アプリケーションが HTTP 応答で改行を含む値を使用すると、ヘッダーインジェクションが発生する可能性があります。HttpResponseがHTTPヘッダーの改行を禁止しているため、Django自体は影響を受けません。(CVE-2021-32052) 

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートのUbuntu 16.04 LTSホストには、USN-4975-2のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2021: 5070 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - django：アップロードされたファイルを介した潜在的なディレクトリトラバーサル (CVE-2021-28658)

  - django：アップロードされたファイルを介した潜在的なディレクトリトラバーサル (CVE-2021-31542)

  - django：archive.extract()による潜在的なディレクトリトラバーサル(CVE-2021-3281)

  - django：「admindocs」を介したディレクトリトラバーサルの可能性 (CVE-2021-33203)

  - django：バリデーターが IPv4 アドレスの先行ゼロを受け入れていたために発生する可能性がある不確定な SSRF、RFI、および LFI 攻撃 (CVE-2021-33571)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

PythonベースのWeb開発フレームワークであるDjangoで2つの問題が発見されました：

  - CVE-2021-33203: admindocsを介したディレクトリトラバーサルの可能性

    スタッフがadmindocs TemplateDetailViewビューを使用して、任意のファイルの存在をチェックする可能性があります。
    さらに、デフォルトのadmindocsテンプレートが開発者によってカスタマイズされ、ファイルの内容も漏洩した場合、ファイルの存在だけでなく内容も漏洩しました。

    緩和策として、パスのサニタイズが適用され、テンプレートのルートディレクトリ内のファイルのみをロードできるようになりました。

    Djangoセキュリティポリシーによると、この問題の深刻度は「低」です。

    報告してくれたCodeQL PythonチームのRasmus Lerchedahl Petersen氏およびRasmus Wriedt Larsen氏に感謝の意を表します。

  - CVE-2021-33571: バリデーターがIPv4アドレスの先行ゼロを受け入れていたために発生する可能性がある不確定なSSRF、RFI、およびLFI攻撃

    URLValidator、validate_ipv4_address()、およびvalidate_ipv46_address()が、8進リテラルの先行ゼロを禁止していませんでした。このような値を使用すると、SSRF、RFI、およびLFIの不確定な攻撃を受ける可能性があります。

    validate_ipv4_address()およびvalidate_ipv46_address()バリデーターは、Python 3.9.5+では影響を受けませんでした。

    Djangoセキュリティポリシーによると、この問題の深刻度は「中」です。

Debian 9 'Stretch'では、この問題はバージョン1:1.10.7-2+deb9u14で修正されています。

お使いのpython-djangoパッケージをアップグレードすることを推奨します。

python-djangoの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/python-django

注: Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2023:0005-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.2.22より前の 2.2、3.1.10 より前の 3.1、3.2.2 より前の 3.2(Python 3.9.5+ 付き) の Django では、URL バリデーターが改行やタブを禁止しません (URLField フォームフィールドが使用されている場合を除く)。アプリケーションが HTTP 応答で改行を含む値を使用すると、ヘッダーインジェクションが発生する可能性があります。HttpResponse が HTTP ヘッダーの改行を禁止しているため、Django 自体は影響を受けません。(CVE-2021-32052)

  - 2.2.24より前の Django、3.1.12 より前の 3.x、および 3.2.4より前の 3.2.xには、django.contrib.admindocs を介した潜在的なディレクトリトラバーサルがあります。スタッフが TemplateDetailView ビューを使用して、任意のファイルの存在をチェックする可能性があります。さらに、デフォルトの admindocs テンプレートがアプリケーション開発者によってカスタマイズされ、ファイルの内容も表示した場合、ファイルの存在だけでなく内容も漏洩しました。言いかえれば、テンプレートルートディレクトリの外にディレクトリトラバーサルがあります。 (CVE-2021-33203)

  - Django 2.2の 2.2.24より前、3.1.12 より前の 3.x、および 3.2.4より前の 3.2では、URLValidator、validate_ipv4_address、および validate_ipv46_address は、8 進リテラルの先行ゼロを禁止していません。これにより、IP アドレスに基づくアクセスコントロールがバイパスされる可能性があります。 (validate_ipv4_address と validate_ipv46_address は Python 3.9.5+ .. で影響を受けません。) (CVE-2021-33571)

  - 2.2.25より前の 2.2、3.1.14より前の 3.1、および 3.2.10より前の 3.2の Django で、末尾に改行がある URL に対する HTTP リクエストが、URL パスに基づいたアップストリームアクセスコントロールをバイパスする可能性があります。(CVE-2021-44420)

  - Django 2.2.26以前の 2.2、3.2.11 以前の 3.2、4.0.1 以前の 4.0に問題が発見されました。
    UserAttributeSimilarityValidator では、送信されたパスワードを評価する際に、著しいオーバーヘッドが発生しました。このパスワードは比較値との関係で人為的に大きくなっていました。ユーザー登録へのアクセスが制限されていない状況では、サービス拒否攻撃を受ける可能性がありました。(CVE-2021-45115)

  - Django 2.2.26以前の 2.2、3.2.11 以前の 3.2、4.0.1 以前の 4.0に問題が発見されました。Django テンプレート言語の変数解決ロジックを利用しているため、dictsort テンプレートフィルターには、適切に細工されたキーを渡された場合に、情報の漏洩や意図しないメソッドの呼び出しが発生する可能性がありました。(CVE-2021-45116)

  - Django の 2.2.26以前の 2.2、3.2.11 以前の 3.2、4.0.1 以前の 4.0の Storage.save は、細工したファイル名が直接渡されると、ディレクトリトラバーサルが可能になります。(CVE-2021-45452)

  -Django 2.2.27より前の 2.2、3.2.12 より前の 3.2、4.0.2 より前の 4.0の {% debug %} テンプレートタグが、現在のコンテキストを適切にエンコードしません。これは XSS の発生につながる可能性があります。(CVE-2022-22818)

  - Django 2.2.27より前の 2.2、3.2.12 より前の 3.2、4.0.2 より前の 4.0の MultiPartParser に問題が発見されました。ときに特定の入力をマルチパートフォームに渡すと、ファイルを解析する際に、無限ループが発生する可能性があります。
    (CVE-2022-23833)

  - Django 2.2.28以前の 2.2、3.2.13 以前の 3.2、4.0.4 以前の 4.0に問題が発見されました。
    QuerySet.annotate()、aggregate()、および extra() メソッドは、渡された ** kwargs として細工されたディクショナリ (ディクショナリ拡張あり) を介して、列エイリアスの SQL インジェクションの影響を受けます。(CVE-2022-28346)

  - Django 2.2.28より前の 2.2、3.2.13 より前の 3.2、4.0.4 より前の 4.0の QuerySet.explain() に SQL インジェクションの問題が見つかりました。これは、以下のような細工されたディクショナリ (ディクショナリ拡張あり) をパスすると発生します。
    **オプション引数。さらにオプション名にインジェクションペイロードを配置することによっても発生します。(CVE-2022-28347)

  - Django 3.2.15以前の 3.2、4.0.7 以前の 4.0の HTTP FileResponse クラスで問題が発見されました。
    アプリケーションは、ファイル名がユーザー指定の入力から派生したときに、FileResponse の Content-Disposition ヘッダーを設定する折り返し型ファイルダウンロード (RFD) 攻撃に対して脆弱です。(CVE-2022-36359)

  - Django では、3.2.16 より前の 3.2、4.0.8 より前の 4.0、および 4.1.2より前の 4.1で、国際化された URL が、正規表現として扱われるロケールパラメーターを介して、サービス拒否攻撃を受ける可能性があります。 (CVE-2022-41323)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 10 ホストには、dla-3744 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.2.20より前の2.2、3.0.14より前の3.0、3.1.8より前の3.1の Django において、MultiPartParser により、適切に細工されたファイル名でアップロードされたファイルを介したディレクトリトラバーサルが可能でした。ビルトインアップロードハンドラーは、この脆弱性の影響を受けません。(CVE-2021-28658)

  - 2.2.21より前の2.2、3.1.9より前の3.1、3.2.1より前の3.2の Django において、MultiPartParser、UploadedFile、および FieldFile により、適切に細工されたファイル名でアップロードされたファイルを介したディレクトリトラバーサルが可能でした。
    (CVE-2021-31542)

  - 2.2.24より前の Django、3.1.12 より前の 3.x、および 3.2.4より前の 3.2.xには、django.contrib.admindocs を介した潜在的なディレクトリトラバーサルがあります。スタッフが TemplateDetailView ビューを使用して、任意のファイルの存在をチェックする可能性があります。さらに、デフォルトの admindocs テンプレートがアプリケーション開発者によってカスタマイズされ、ファイルの内容も表示した場合、ファイルの存在だけでなく内容も漏洩しました。言いかえれば、テンプレートルートディレクトリの外にディレクトリトラバーサルがあります。(CVE-2021-33203)

  - Django 2.2の 2.2.24より前、3.1.12 より前の 3.x、および 3.2.4より前の 3.2では、URLValidator、validate_ipv4_address、および validate_ipv46_address は、8 進リテラルの先行ゼロを禁止していません。これにより、IP アドレスに基づくアクセスコントロールがバイパスされる可能性があります。(validate_ipv4_address と validate_ipv46_address は Python 3.9.5+ .. で影響を受けません。) (CVE-2021-33571)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのOracle Linux 8ホストに、ELSA-2022-9341アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 19.10.0までの Twisted Web に、HTTP リクエスト分割の脆弱性がありました。2 つの content-length ヘッダーが提示されると、最初のヘッダーが無視されました。2 番目の content-length 値がゼロに設定されると、リクエスト本文がパイプライン化されたリクエストとして解釈されていました。(CVE-2020-10108)

  - 19.10.0までの Twisted Web に、HTTP リクエスト分割の脆弱性がありました。content-length とチャンクされたエンコーディングヘッダーが提示されると、content-length が優先され、リクエスト本文の残りがパイプライン化されたリクエストとして解釈されていました。(CVE-2020-10109)

  - python-lxmlのcleanモジュールにXSSの脆弱性が見つかりました。モジュールのパーサーがブラウザを適切に模倣しないため、サニタイザーとユーザーのページの間で異なる動作が引き起こされました。リモートの攻撃者がこの欠陥を悪用して、任意のHTML/JSコードを実行する可能性があります。 (CVE-2020-27783)

  - 5.1より前の PyYAML では、yaml.load() API が信頼できないデータで使用されると、任意のコードが実行される可能性があります。load() 関数はバージョン 5.1で廃止され、関数との後方互換性のために「UnsafeLoader」が導入されました。 (CVE-2017-18342)

  - 2.2.24より前の Django、3.1.12 より前の 3.x、および 3.2.4より前の 3.2.xには、django.contrib.admindocs を介した潜在的なディレクトリトラバーサルがあります。スタッフが TemplateDetailView ビューを使用して、任意のファイルの存在をチェックする可能性があります。さらに、デフォルトの admindocs テンプレートがアプリケーション開発者によってカスタマイズされ、ファイルの内容も表示した場合、ファイルの存在だけでなく内容も漏洩しました。言いかえれば、テンプレートルートディレクトリの外にディレクトリトラバーサルがあります。 (CVE-2021-33203)

  - Django 2.2の 2.2.24より前、3.1.12 より前の 3.x、および 3.2.4より前の 3.2では、URLValidator、validate_ipv4_address、および validate_ipv46_address は、8 進リテラルの先行ゼロを禁止していません。これにより、IP アドレスに基づくアクセスコントロールがバイパスされる可能性があります。 (validate_ipv4_address と validate_ipv46_address は Python 3.9.5+ .. で影響を受けません。) (CVE-2021-33571)

  - 2.2.25より前の 2.2、3.1.14より前の 3.1、および 3.2.10より前の 3.2の Django で、末尾に改行がある URL に対する HTTP リクエストが、URL パスに基づいたアップストリームアクセスコントロールをバイパスする可能性があります。(CVE-2021-44420)

  - 2.2.21より前の2.2、3.1.9より前の3.1、3.2.1より前の3.2のDjangoにおいて、MultiPartParser、UploadedFile、およびFieldFileにより、適切に細工されたファイル名でアップロードされたファイルを介したディレクトリトラバーサルが可能でした。
    (CVE-2021-31542)

  - 2.2.20より前の2.2、3.0.14より前の3.0、3.1.8より前の3.1のDjangoにおいて、MultiPartParser により、適切に細工されたファイル名でアップロードされたファイルを介したディレクトリトラバーサルが可能でした。ビルトインアップロードハンドラーは、この脆弱性の影響を受けません。 (CVE-2021-28658)

  - lxmlは Python 言語で XML および HTML を処理するためのライブラリです。バージョン 4.6.5より前では、lxml.html の HTML クリーナーは、特定の細工されたスクリプトコンテンツを通過させ、データ URI を使用して埋め込まれた SVG ファイルのスクリプトコンテンツも通過させます。HTML クリーナーをセキュリティ関連のコンテキストで使用するユーザーは、lxml 4.6.5にアップグレードしてパッチを受信する必要があります。利用可能な既知の回避策はありません。 (CVE-2021-43818)

  - 4.6.3より前のバージョンの python-lxml の clean モジュールに XSS の脆弱性が見つかりました。safe_attrs_onlyとフォームの引数を無効にするとき、Cleanerクラスはformaction属性を削除しないため、JSがサニタイザーをバイパスする可能性があります。リモートの攻撃者がこの欠陥を悪用して、不適切にサニタイズされたHTMLとやり取りするユーザーに対して任意のJSコードを実行する可能性があります。この問題は、lxml 4.6.3でパッチされています。
    (CVE-2021-28957)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 7ホストにインストールされているパッケージは、RHSA-2021：4702 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - python-ecdsa: 署名デコード中に発生する予期せぬ文書化されていない例外 (CVE-2019-14853)

  - python-ecdsa: DER エンコーディングが署名で検証されていません (CVE-2019-14859)

  - rubygem-activerecord-session_store：セッションIDを標的とするタイミング攻撃を使用してセッションをハイジャック（CVE-2019-25025）

  - PyYAML:CVE-2020-1747の修正が不完全（CVE-2020-14343）

  - rubygem-nokogiri: Nokogiri: : XML：: Schema による XML 外部エンティティインジェクション (CVE-2020-26247)

  - rake: Rake: : FileList の egrep による OS コマンドインジェクション (CVE-2020-8130)

  -guava：安全ではない権限で作成した一時ディレクトリを介したローカルの情報漏洩（CVE-2020-8908）

  - Satellite: API を介した BMC コントローラーの認証情報の漏洩 (CVE-2021-20256)

  - python-aiohttp: aiohttp.web_middlewares.normalize_path_middleware のオープンリダイレクト (CVE-2021-21330)

  - rubygem-actionpack：Action Pack における潜在的な情報漏洩/意図しないメソッドの実行 (CVE-2021-22885)

  - rails: Action Dispatch における潜在的なサービス拒否の脆弱性 (CVE-2021-22902)

  - rails: Action Controller のトークン認証の潜在的な DoS の脆弱性 (CVE-2021-22904)

  - django：アップロードされたファイルを介した潜在的なディレクトリトラバーサル (CVE-2021-28658)

  - rubygem-puma: CVE-2019-16770 の不完全な修正により、サービス拒否 (DoS) が可能になります (CVE-2021-29509)

  - django：アップロードされたファイルを介した潜在的なディレクトリトラバーサル (CVE-2021-31542)

  - rubygem-addressable: テンプレートの ReDoS (CVE-2021-32740)

  - django：「admindocs」を介したディレクトリトラバーサルの可能性 (CVE-2021-33203)

  - python-urllib3: URLの権限部分の解析におけるReDoS（CVE-2021-33503）

  - django：バリデーターが IPv4 アドレスの先行ゼロを受け入れていたために発生する可能性がある不確定な SSRF、RFI、および LFI 攻撃 (CVE-2021-33571)

  - Satellite: 認証されたユーザーへの Azure 計算リソース secret_key の漏洩 (CVE-2021-3413)

  - foreman: smart_proxy realm_freeipa での中間者の可能性 (CVE-2021-3494)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
165154	RHEL 8: Red Hat OpenStack Platform 16.2 （python-django20）（RHSA-2021：3490)	Nessus	Red Hat Local Security Checks	2022/9/15	2024/4/28	high
150144	Ubuntu 18.04LTS / 20.04LTS: Django の脆弱性 (USN-4975-1)	Nessus	Ubuntu Local Security Checks	2021/6/2	2023/10/20	high
150320	Ubuntu 16.04ESM: Django の脆弱性 (USN-4975-2)	Nessus	Ubuntu Local Security Checks	2021/6/7	2023/10/20	medium
156005	RHEL 8: Red Hat OpenStack Platform 16.1 （python-django20）（RHSA-2021：5070)	Nessus	Red Hat Local Security Checks	2021/12/11	2024/4/28	high
150303	DebianDLA-2676-1：python-djangoのセキュリティ更新	Nessus	Debian Local Security Checks	2021/6/7	2022/10/14	high
169481	openSUSE 15 セキュリティ更新: python-Django (openSUSE-SU-2023:0005-1)	Nessus	SuSE Local Security Checks	2023/1/4	2023/9/11	critical
191437	Debian dla-3744 : python-django - セキュリティ更新	Nessus	Debian Local Security Checks	2024/2/29	2024/2/29	high
160271	Oracle Linux 8 : ol-automation-manager (ELSA-2022-9341)	Nessus	Oracle Linux Local Security Checks	2022/4/27	2023/10/31	critical
155377	RHEL 7：Satellite 6.10 リリース（重要度中）（RHSA-2021：4702)	Nessus	Red Hat Local Security Checks	2021/11/17	2024/4/28	critical

検出

プラグインの検索

high

high

medium

high

high

critical

high

critical

critical