Bulletin d'alerte Debian

DLA-3306-1 python-django -- Mise à jour de sécurité pour LTS

Date du rapport :

1^er février 2023

Paquets concernés :

python-django

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2023-23969.

Plus de précisions :

Il a été découvert qu’il existait une vulnérabilité de déni de service potentiel (DoS) dans Django, un cadriciel populaire de développement web.

Les valeurs analysées dans l’en-tête HTTP Accept-Language sont mises en cache selon l’ordre de Django pour éviter des analyses répétitives. Cela pouvait conduire à une attaque potentielle par déni de service à l’aide d’une utilisation excessive de la mémoire si la valeur brute des en-têtes Accept-Language était très grande.

Les en-têtes Accept-Language sont limités à une taille maximale expressément pour éviter ce problème.

CVE-2023-23969

Pour Debian 10 Buster, ce problème a été corrigé dans la version 1:1.11.29-1+deb10u6.

Nous vous recommandons de mettre à jour vos paquets python-django.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.