Bulletin d'alerte Debian

DLA-2233-2 python-django -- Mise à jour de régression pour LTS

Date du rapport :

12 juin 2020

Paquets concernés :

python-django

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2020-13254.

Plus de précisions :

Il a été découvert qu’il existait une régression dans la dernière mise à jour de Django, le cadriciel de développement web en Python. Le correctif de l’amont pour CVE-2020-13254 pour les divulgations à l’aide de clés memcached mal formées pourrait, dans certaines situations, causer une trace de la pile.

Veuillez consulter https://code.djangoproject.com/ticket/31654 pour plus d’informations.

CVE-2020-13254 : divulgation potentielle de données à l’aide de clés memcached mal formées.
Dans le cas où un dorsal memcached ne réalise pas une validation de clé, le passage de clés mal formées en cache pourrait aboutir à une collision de clés et une divulgation potentielle de données. Pour éviter cela, une validation de clé a été ajoutée dans les dorsaux memcached de cache.

Pour Debian 8 Jessie, ces problèmes ont été corrigés dans la version 1.7.11-1+deb8u10.

Nous vous recommandons de mettre à jour vos paquets python-django.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.