Рекомендация Debian по безопасности
DSA-3305-1 python-django -- обновление безопасности
- Дата сообщения:
- 08.07.2015
- Затронутые пакеты:
- python-django
- Уязвим:
- Да
- Ссылки на базы данных по безопасности:
- В каталоге Mitre CVE: CVE-2015-5143, CVE-2015-5144.
- Более подробная информация:
-
В Django, высокоуровневой инфраструктуре для веб-разработки на Python, было обнаружено несколько ошибок:
- CVE-2015-5143
Эрик Петерсон и Лин Ху Чен обнаружили, что пустая запись пароля, обычно создаваемая в сессионном хранилище всякий раз при обращении к сессии, и неизвестный сессионный ключ указываются в куки запроса. Это может позволить удалённым злоумышленникам заполнить сессионное хранилище или очистить сессионные записи других пользователей.
- CVE-2015-5144
Съёрд Йоб Постмус обнаружил, что некоторые встроенные модули проверки неправильно отклоняют символы новых строк в передаваемом вводе. Это может позволить удалённым злоумышленникам вводить заголовки в сообщения электронной почты и ответы HTTP.
В предыдущем стабильном выпуске (wheezy) эти проблемы были исправлены в версии 1.4.5-1+deb7u12.
В стабильном выпуске (jessie) эти проблемы были исправлены в версии 1.7.7-1+deb8u1.
В нестабильном выпуске (sid) эти проблемы будут исправлены позже.
Рекомендуется обновить пакеты python-django.
- CVE-2015-5143