1.8 final modernize spec for python3 への更新

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

python-django は、auth 表示モジュールにおいて起こり得るリモートのサービス拒否（リソース消費）を修正するために更新されています。（bsc#941587、CVE-2015-5963）

また、ユーザー指定のリダイレクト URL を介する XSS 攻撃の可能性を緩和するために、is_safe_url() が制御文字で開始する URL を拒否するようになりました（bnc#923176、CVE-2015-2317）。

- check_for_test_cookie メソッドが非推奨になります、bnc#914706

- 多様なセキュリティ修正のあるバージョン 1.5.12 に更新してください：

+ 動的に生成されたインラインで回帰が修正され、管理者のフィールド参照が可能になりました

+ 関連する多対多フィールドを管理者が参照できるようにしました

+ 管理者フィールドへのインラインおよび非表示の参照ができるようにしました

Andrey Babak 氏は、Django が strip_tags を不適切に処理していることを発見しました。リモートの攻撃者がこの問題を利用することで、Django を無限ループに陥らせて、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTSとUbuntu 14.10のみです。(CVE-2015-2316)

Daniel Chatfield 氏は、Django がユーザー指定のリダイレクト URL を不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、クロスサイトスクリプティング攻撃を仕掛ける可能性があります。(CVE-2015-2317)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

セキュリティ問題と非セキュリティバグを修正するため、python-django が 1.6.11 に更新されました。

次の脆弱性が修正されました：

- is_safe_url() に、ユーザー提供のリダイレクト URL を介した XSS 攻撃の可能性を緩和するため、制御文字で開始する URL を拒否させました（bnc#923176、CVE-2015-2317）

- strip_tags() の無限ループの可能性を修正しました（bnc#923172、CVE-2015-2316）

- アンダースコア/ダッシュ合成を介する WSGI ヘッダーのなりすまし（bnc#913053、CVE-2015-0219）

- ユーザー提供のリダイレクト URL を介した XSS 攻撃の可能性を緩和しました

- 「django.views.static.serve」に対する DoS 攻撃（サービス拒否攻撃）（bnc#913056、CVE-2015-0221）

- 「ModelMultipleChoiceField」を含むデータベースサービス拒否（bnc#913055、CVE-2015-0222）

この更新には、非セキュリティバグ、機能性および安定性に対する問題の修正も含まれています。

python-django で脆弱性が見つかりましたが修正されています。

1.4.20 より前、1.5.x、1.6.11 より前の 1.6.x、1.7.7 より前の 1.7.x、および 1.8c1 より前の 1.8. x の Django にある utils.http.is_safe_url 関数が適切に URL を検証しないため、\x08javascript で示されているように、URL の制御文字により、リモートの攻撃者が、クロスサイトスクリプティング（XSS）攻撃を仕掛ける可能性があります：(CVE-2015-2317)。

更新済みパッケージが、このセキュリティの問題に対するソリューションを提供します。

Daniel Chatfield 氏は、高レベルの Python Web 開発フレームワークである python-django　がユーザーが指定したリダイレクト　URL を不適切に処理していることを発見しました。リモートの攻撃者が、この欠陥を利用して、クロスサイトスクリプティング攻撃を実行する可能性があります。

ハイレベルな Python Web 開発フレームワーク Django に、いくつかの脆弱性が見つかりました：

CVE-2015-2317

Daniel Chatfield 氏は、高レベルの Python Web 開発フレームワークである python-django　がユーザーが指定したリダイレクト　URL を不適切に処理していることを発見しました。リモートの攻撃者が、この欠陥を利用して、クロスサイトスクリプティング攻撃を実行する可能性があります。

CVE-2015-5143

Eric Peterson 氏と Lin Hua Cheng 氏は、セッションがアクセスされ、リクエストクッキーで不明なセッションキーが提供されるたびに、セッションストレージに、使用される新しい空のレコードが作成されることを見つけました。これにより、リモートの攻撃者が、セッションストアを飽和させたり、他のユーザーのセッションレコードを退去させたりする可能性があります。

CVE-2015-5144

Sjoerd Job Postmus 氏は、一部の内蔵バリデーターによって、入力値の改行が適切に拒否されないことを見つけました。これにより、リモートの攻撃者が、メールおよび HTTP 応答にヘッダーを注入する可能性があります。

旧安定版（oldstable）ディストリビューション（squeeze）では、これらの問題はバージョン 1.2.3-3+squeeze13 で修正されています。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

1.4.20 に更新してください

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Django プロジェクトによる報告：

当社のセキュリティリリースポリシーに従って、Django チームは複数のリリース（Django 1.4.20、1.6.11、1.7.7 および 1.8c1）を発表しています。
これらのリリースは、PyPI と弊社のダウンロードページで現在利用可能です。これらのリリースは、次のいくつかのセキュリティに関する問題に対処します。Django の全ユーザーは、できる限り早くアップグレードすることが推奨されます。Django マスターブランチも更新されています。

更新済み python-django パッケージにより、次記のセキュリティ脆弱性が修正されます：

Jedediah Smith 氏は、Django が WSGI ヘッダー内のアンダースコアを間違って処理していることを発見しました。リモートの攻撃者が、この問題を利用して、特定の環境でヘッダーを偽造する可能性があります（CVE-2015-0219）。

Mikko Ohtamaa 氏は、Django がユーザー指定のリダイレクト URL を不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、クロスサイトスクリプティング攻撃を仕掛ける可能性があります（CVE-2015-0220）。

Alex Gaynor 氏は、Django が django.views.static.serve() でファイルの読み取りを不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、 Django にリソースを消費させ、サービス拒否を引き起こす可能性があります（CVE-2015-0221）。

Keryn Knight 氏は、Django が ModelMultipleChoiceField でフォームを不適切に処理することを発見しました。リモートの攻撃者が、この問題を利用することにより、 SQL クエリを大量に発行することで、データベースをサービス拒否にしてしまう可能性があります。注意：この問題の影響を受けるのは、python-django のみです（CVE-2015-0222）。

1.7.6 より前の Django および 1.8b2 より前の 1.8 の Django における admin/helpers.py のコンテンツ機能のクロスサイトスクリプティング（XSS）の脆弱性により、リモート攻撃者が、\@property で示されているように、ModelAdmin.readonly_fields のモデル属性を通して任意の Web スクリプトまたは HTML を注入する可能性があります（CVE-2015-2241）。

特定の Python バージョンを使用する際に、1.6.11 より前の Django 1.6.x、1.7.7 より前の Django 1.7.x、1.8c1 より前の Django 1.8.x の utils.html.strip_tags 関数により、リモートの攻撃者が、入力文字列の長さを大きくして、サービス拒否（無限ループ）を引き起こす可能性があります（CVE-2015-2316）。

1.4.20 より前、1.5.x、1.6.11 より前の 1.6.x、1.7.7 より前の 1.7.x、および 1.8c1 より前の 1.8. x の Django にある utils.http.is_safe_url 関数が適切に URL を検証しないため、\x08javascript で示されているように、URL の制御文字により、リモートの攻撃者が、クロスサイトスクリプティング（XSS）攻撃を仕掛ける可能性があります：(CVE-2015-2317)。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
82967	Fedora 22：python-django-1.8-1.fc22（2015-5766）	Nessus	Fedora Local Security Checks	2015/4/22	2021/1/11	medium
86091	openSUSE セキュリティ更新：python-django（openSUSE-2015-598）	Nessus	SuSE Local Security Checks	2015/9/23	2021/1/19	medium
82023	Ubuntu 14.04 LTS : Django の脆弱性 (USN-2539-1)	Nessus	Ubuntu Local Security Checks	2015/3/24	2023/10/20	medium
82515	openSUSE セキュリティ更新：python-Django（openSUSE-2015-281）	Nessus	SuSE Local Security Checks	2015/4/2	2021/1/19	medium
82618	Mandriva Linux セキュリティアドバイザリ：python-django（MDVSA-2015:195）	Nessus	Mandriva Local Security Checks	2015/4/7	2021/1/14	medium
82048	Debian DSA-3204-1：python-django - セキュリティ更新	Nessus	Debian Local Security Checks	2015/3/25	2021/1/11	medium
84812	Debian DLA-272-1：python-django セキュリティ更新	Nessus	Debian Local Security Checks	2015/7/17	2021/1/11	high
84278	Fedora 20： python-django14-1.4.20-1.fc20（2015-9604）	Nessus	Fedora Local Security Checks	2015/6/19	2021/1/11	medium
82286	FreeBSD：django -- 複数の脆弱性（62287f51-d43d-11e4-879c-00e0814cab4e）	Nessus	FreeBSD Local Security Checks	2015/3/27	2021/1/6	medium
82362	Mandriva Linux セキュリティアドバイザリ：python-django（MDVSA-2015:109）	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

high

medium

medium

medium