在基于 Python 的 Web 开发框架 Django 中发现一个潜在帐户劫持漏洞。

Django 的密码重置表单使用不区分大小写的查询来检索与请求密码重置的电子邮件地址匹配的帐户。
由于这通常涉及显式或隐式大小写转换，所以知道与用户帐户关联的电子邮件地址的攻击者可以构建不同于该帐户关联的地址的电子邮件地址，但由于 Unicode 大小写转换的行为，该地址会在大小写转换后变得相同，或者将在其他方面比较相同给定数据库大小写转换或合并行为。在这种情况下，攻击者会收到用户帐户的有效密码重置令牌。

为解决此问题，在 Django 中进行了两项更改：

  - 在从数据库检索到一组可能匹配的帐户之后，Django 的密码重置功能现在也会使用 Unicode 技术报告 36 第 2.11.2(B)(2) 节中建议的标识符比较处理流程，检查 Python 中的电子邮件地址是否相同。

  - 当生成密码重置电子邮件时，Django 现在会将其发送到从数据库检索到的电子邮件地址，而非在密码重置请求表单中提交的电子邮件地址。

有关更多信息，请参见 https:

https://www.djangoproject.com/weblog/2019/dec/18/security-releases/

对于 Debian 8“Jessie”，已在 python-django 版本 1.7.11-1+deb8u8 中修复此问题。

我们建议您升级 python-django 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

检测

Debian DLA-2042-1：python-django 安全更新

critical Nessus 插件 ID 132268

版本 1.8