Рекомендация Debian по безопасности

DSA-3305-1 python-django -- обновление безопасности

Дата сообщения:

08.07.2015

Затронутые пакеты:

python-django

Уязвим:

Да

Ссылки на базы данных по безопасности:

В каталоге Mitre CVE: CVE-2015-5143, CVE-2015-5144.

Более подробная информация:

В Django, высокоуровневой инфраструктуре для веб-разработки на Python, было обнаружено несколько ошибок:

CVE-2015-5143
Эрик Петерсон и Лин Ху Чен обнаружили, что пустая запись пароля, обычно создаваемая в сессионном хранилище всякий раз при обращении к сессии, и неизвестный сессионный ключ указываются в куки запроса. Это может позволить удалённым злоумышленникам заполнить сессионное хранилище или очистить сессионные записи других пользователей.
CVE-2015-5144
Съёрд Йоб Постмус обнаружил, что некоторые встроенные модули проверки неправильно отклоняют символы новых строк в передаваемом вводе. Это может позволить удалённым злоумышленникам вводить заголовки в сообщения электронной почты и ответы HTTP.

В предыдущем стабильном выпуске (wheezy) эти проблемы были исправлены в версии 1.4.5-1+deb7u12.

В стабильном выпуске (jessie) эти проблемы были исправлены в версии 1.7.7-1+deb8u1.

В нестабильном выпуске (sid) эти проблемы будут исправлены позже.

Рекомендуется обновить пакеты python-django.