Рекомендация Debian по безопасности

DSA-3305-1 python-django -- обновление безопасности

Дата сообщения:
08.07.2015
Затронутые пакеты:
python-django
Уязвим:
Да
Ссылки на базы данных по безопасности:
В каталоге Mitre CVE: CVE-2015-5143, CVE-2015-5144.
Более подробная информация:

В Django, высокоуровневой инфраструктуре для веб-разработки на Python, было обнаружено несколько ошибок:

  • CVE-2015-5143

    Эрик Петерсон и Лин Ху Чен обнаружили, что пустая запись пароля, обычно создаваемая в сессионном хранилище всякий раз при обращении к сессии, и неизвестный сессионный ключ указываются в куки запроса. Это может позволить удалённым злоумышленникам заполнить сессионное хранилище или очистить сессионные записи других пользователей.

  • CVE-2015-5144

    Съёрд Йоб Постмус обнаружил, что некоторые встроенные модули проверки неправильно отклоняют символы новых строк в передаваемом вводе. Это может позволить удалённым злоумышленникам вводить заголовки в сообщения электронной почты и ответы HTTP.

В предыдущем стабильном выпуске (wheezy) эти проблемы были исправлены в версии 1.4.5-1+deb7u12.

В стабильном выпуске (jessie) эти проблемы были исправлены в версии 1.7.7-1+deb8u1.

В нестабильном выпуске (sid) эти проблемы будут исправлены позже.

Рекомендуется обновить пакеты python-django.