Python Django 已更新，修复了安全问题和缺陷。

在 openSUSE 12.3 上，更新到版本 1.4.15：

+ 已阻止 reverse() 生成指向其他主机的 URL，从而阻止钓鱼攻击（bnc#893087，CVE-2014-0480）

+ 上传重复的文件名时已删除 O(n) 算法，从而修复文件上传拒绝服务（bnc#893088，CVE-2014-0481）

+ 已修改 RemoteUserMiddleware 以在 REMOTE_USE 更改时注销，从而阻止会话劫持（bnc#893089，CVE-2014-0482）

+ 已通过查询字符串操纵阻止 contrib.admin 中的数据泄漏（bnc#893090，CVE-2014-0483）

+ 已修复：可能会错误地允许缓存存储和服务隐私数据（bnc#877993，CVE-2014-1418）

+ 已修复：未正确验证来自用户输入的畸形重定向 URL（bnc#878641，CVE-2014-3730）

+ 已修复因类型转换而导致可能在 MySQL 中返回意外结果的查询（bnc#874956，CVE-2014-0474）

+ 已阻止通过缓存泄漏 CSRF 标记（bnc#874955，CVE-2014-0473）

+ 已修复 URL 反向中的远程代码执行漏洞（bnc#874950，CVE-2014-0472）

在 openSUSE 13.1 上，更新到版本 1.5.10：

+ 已阻止 reverse() 生成指向其他主机的 URL，从而阻止钓鱼攻击（bnc#893087，CVE-2014-0480）

+ 上传重复的文件名时已删除 O(n) 算法，从而修复文件上传拒绝服务（bnc#893088，CVE-2014-0481）

+ 已修改 RemoteUserMiddleware 以在 REMOTE_USE 更改时注销，从而阻止会话劫持（bnc#893089，CVE-2014-0482）

+ 已通过查询字符串操纵阻止 contrib.admin 中的数据泄漏（bnc#893090，CVE-2014-0483）

- 更新到 1.5.8 版：

+ 已修复：可能会错误地允许缓存存储和服务隐私数据（bnc#877993，CVE-2014-1418）

+ 已修复：未正确验证来自用户输入的畸形重定向 URL（bnc#878641，CVE-2014-3730）

+ 已修复因类型转换而导致可能在 MySQL 中返回意外结果的查询（bnc#874956，CVE-2014-0474）

+ 已阻止通过缓存泄漏 CSRF 标记（bnc#874955，CVE-2014-0473）

+ 已修复 URL 反向中的远程代码执行漏洞（bnc#874950，CVE-2014-0472）

Django 專案報告：

這些版本可解決一個會產生外部 URL 的 reverse() 問題；一個涉及檔案上傳的拒絕服務問題；遠端使用者中介軟體中的一個潛在工作階段劫持問題；以及系統管理介面中的一個資料洩漏問題。我們鼓勵所有 Django 使用者皆盡快升級。

在高階 Python Web 開發架構 Django 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2014-0480 Florian Apolloner 發現在某些情況下，URL 回復作業可能產生配置相關的 URL，其可未預期地將使用者重新導向至其他主機，從而導致網路釣魚攻擊。

- CVE-2014-0481 David Wilson 報告了一個檔案上傳拒絕服務弱點。在預設組態中處理 Django 檔案上傳時，可能會在上傳重複的檔名時，降級為產生大量「os.stat()」系統呼叫。若遠端攻擊者可上傳檔案，便可造成上傳處置程式效能低落，進而造成其速度變得極為緩慢。

- CVE-2014-0482 David Greisen 發現在某些情況下，如果 REMOTE_USER 標頭變更時沒有對應的登出/登入動作，則使用 RemoteUserMiddleware 中介軟體和 RemoteUserBackend 驗證後端會導致使用者收到其他使用者的工作階段。

- CVE-2014-0483 Collin Anderson 發現，在系統管理員變更表單頁面上，修改查詢字串的 'popup' 和 'to_field' 參數時，可能會揭露任何欄位資料。若使用者具有管理介面存取權，且對模型結構和適用 URL 有充分瞭解，即可建構能顯示非關係欄位值的快顯檢視，包括應用程式開發人員未預定以此方式揭露的欄位。

1.5.9 的更新，可修正 CVE-2014-3473 CVE-2014-3474 CVE-2014-3475

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

更新版 python-django 套件可修正安全性弱點：

這些版本解決了一個會產生外部 URL 的 reverse() 問題 (CVE-2014-0480)；一個涉及檔案上傳的拒絕服務 (CVE-2014-0481)；遠端使用者中介軟體中的一個潛在工作階段劫持問題 (CVE-2014-0482)；以及系統管理介面中的一個資料洩漏問題 (CVE-2014-0483)。

Python Django 已更新，修正了多個安全性問題和錯誤。

openSUSE 12.3 上 1.4.15 版的更新：

+ 防止 reverse() 產生指向其他主機的 URL，可避免網路釣魚攻擊 (bnc#893087、CVE-2014-0480)

+ 將上傳重複檔案名稱時的 O(n) 演算法移除，可修正檔案上傳拒絕服務 (bnc#893088、CVE-2014-0481)

+ 將 RemoteUserMiddleware 修改為 REMOTE_USE 變更時即登出，防止工作階段劫持攻擊 (bnc#893089、CVE-2014-0482)

+ 防止透過查詢字串操控而導致 contrib.admin 中的資料洩漏 (bnc#893090、CVE-2014-0483)

+ 修正：可能不正確地允許快取儲存和提供私人資料 (bnc#877993、CVE-2014-1418)

+ 修正：未正確驗證使用者輸入的格式錯誤重新導向 URL (bnc#878641、CVE-2014-3730)

+ 修正因類型選擇而可能使 MySQL 傳回非預期結果的查詢 (bnc#874956、CVE-2014-0474)

+ 防止透過快取而洩漏 CSRF token (bnc#874955、CVE-2014-0473)

+ 修正 URL 回復中的一個遠端程式碼執行弱點 (bnc#874950、CVE-2014-0472)

openSUSE 13.1 上 1.5.10 版的更新：

+ 防止 reverse() 產生指向其他主機的 URL，可避免網路釣魚攻擊 (bnc#893087、CVE-2014-0480)

+ 將上傳重複檔案名稱時的 O(n) 演算法移除，可修正檔案上傳拒絕服務 (bnc#893088、CVE-2014-0481)

+ 將 RemoteUserMiddleware 修改為 REMOTE_USE 變更時即登出，防止工作階段劫持攻擊 (bnc#893089、CVE-2014-0482)

+ 防止透過查詢字串操控而導致 contrib.admin 中的資料洩漏 (bnc#893090、CVE-2014-0483)

- 1.5.8 版本的更新：

+ 修正：可能不正確地允許快取儲存和提供私人資料 (bnc#877993、CVE-2014-1418)

+ 修正：未正確驗證使用者輸入的格式錯誤重新導向 URL (bnc#878641、CVE-2014-3730)

+ 修正因類型選擇而可能使 MySQL 傳回非預期結果的查詢 (bnc#874956、CVE-2014-0474)

+ 防止透過快取而洩漏 CSRF token (bnc#874955、CVE-2014-0473)

+ 修正 URL 回復中的一個遠端程式碼執行弱點 (bnc#874950、CVE-2014-0472)

ID	Name	Product	Family	Published	Updated	Severity
77718	openSUSE 安全更新：python-django (openSUSE-SU-2014:1132-1)	Nessus	SuSE Local Security Checks	9/17/2014	1/19/2021	critical
77315	FreeBSD：django -- 多個弱點 (3c5579f7-294a-11e4-99f6-00e0814cab4e)	Nessus	FreeBSD Local Security Checks	8/22/2014	1/6/2021	medium
77344	Debian DSA-3010-1：python-django - 安全性更新	Nessus	Debian Local Security Checks	8/23/2014	1/11/2021	medium
77592	Fedora 19：python-django-1.5.9-1.fc19 (2014-9791)	Nessus	Fedora Local Security Checks	9/10/2014	1/11/2021	medium
77658	Mandriva Linux 安全性公告：python-django (MDVSA-2014:179)	Nessus	Mandriva Local Security Checks	9/12/2014	1/6/2021	medium
77718	openSUSE 安全性更新：python-django (openSUSE-SU-2014:1132-1)	Nessus	SuSE Local Security Checks	9/17/2014	1/19/2021	critical

Detections

Analytics

Plugins Search

critical

medium

medium

medium

medium

critical