Säkerhetsinformation / 2011 / Säkerhetsinformation -- DSA-2332-1 python-django

Säkerhetsbulletin från Debian

DSA-2332-1 python-django -- flera problem

Rapporterat den:

2011-10-29

Berörda paket:

python-django

Sårbara:

Ja

Referenser i säkerhetsdatabaser:

I Debians felrapporteringssystem: Fel 641405.
I Mitres CVE-förteckning: CVE-2011-4136, CVE-2011-4137, CVE-2011-4138, CVE-2011-4139, CVE-2011-4140.

Ytterligare information:

Paul McMillan, Mozilla och Djangos kärngrupp upptäckte flera sårbarheter i Django, ett webbramverk för Python:

• CVE-2011-4136

  Vid användning av minnes-baserade sessioner och cachning, lagras Djangosessioner direkt i rootnamnrymden av cachen. När användardata lagras i samma cache kan en fjärranvändare ta över en session.

• CVE-2011-4137, CVE-2011-4138

  Djangos fälttyp URLfield kontrollerar tillhandahållna URLer genom att tilldela en förfrågan till dem, som inte löper ut. En överbelastning är möjlig genom att tillhandahålla speciellt skapade URLer som håller anslutningen öppen obestämd tid eller fyller minnet i Djangoservern.

• CVE-2011-4139

  Django använde X-Forwarded-Host-huvuden för att skapa kompletta URLer. Dessa huvuden får inte innehålla betrodd indata och kan användas för att förgifta cachen.

• CVE-2011-4140

  CSRF-skyddsmekanismen i Django hanterar inte webbaserade konfigurationer ordentligt som stödjer godtyckliga HTTP-värdhuvuden, vilket tillåter fjärrangripare att trigga icke auktoriserade förfalskade förfrågningar.

För den gamla stabila utgåvan (Lenny) har detta problem rättats i version 1.0.2-1+lenny3.

För den stabila utgåvan (Squeeze) har detta problem rättats i version 1.2.3-3+squeeze2.

För uttestningsutgåvan (Wheezy) och den instabila utgåvan (Sid), har detta problem rättats i version 1.3.1-1.

Vi rekommenderar att ni uppgraderar era python-django-paket.