Рекомендация Debian по безопасности
DSA-3338-1 python-django -- обновление безопасности
- Дата сообщения:
- 18.08.2015
- Затронутые пакеты:
- python-django
- Уязвим:
- Да
- Ссылки на базы данных по безопасности:
- В каталоге Mitre CVE: CVE-2015-5963, CVE-2015-5964.
- Более подробная информация:
-
Лин Ху Ченг обнаружил, что можно создать сессию при анонимном доступе к виду django.contrib.auth.views.logout. Это может позволить удалённому злоумышленнику заполнить хранилище сессии или сбросить сессии других пользователей.
Кроме того, были изменены методы contrib.sessions.backends.base.SessionBase.flush() и cache_db.SessionStore.flush() для того, чтобы новые пустые сессии не создавались.
В предыдущем стабильном выпуске (wheezy) эти проблемы были исправлены в версии 1.4.5-1+deb7u13.
В стабильном выпуске (jessie) эти проблемы были исправлены в версии 1.7.7-1+deb8u2.
В нестабильном выпуске (sid) эти проблемы будут исправлены в скором времени.
Рекомендуется обновить пакеты python-django.