Debian dla-4010：python-django-doc - 安全更新

medium Nessus 插件 ID 213987

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

远程 Debian 11 主机上安装的多个程序包受到 dla-4010 公告中提及的一个漏洞影响。

- ------------------------------------------------------------------------- Debian LTS 公告 DLA-4010-1 [email protected] https://www.debian.org/lts/security/Chris Lamb 2025 年 1 月 10 日 https://wiki.debian.org/LTS
- -------------------------------------------------------------------------

程序包：python-django 版本：2:2.2.28-1~deb11u4 CVE ID： CVE-2024-6923

针对 python3.9 源程序包中 CVE-2024-6923 的补丁（作为 DLA 3980-1 [0] 中的更新套件的一部分发布）在电子邮件模块中引入了更安全的输入处理，以提高防范电子邮件标头注入攻击的安全性。

但是，如果在 python-django 程序包中使用惰性转换字符串，此更改会在无意间中断电子邮件的发送，从而导致程序不再从源构建该程序包。

由于 Python 电子邮件模块以前的这种行为可以通过传递 strict=False 标记启用，因此 python-django 程序包现在会执行此操作。Django 会在别处处理出站电子邮件时检测和/或编码新行。

对于 Debian 11 bullseye，已在 2:2.2.28-1~deb11u4 版本中执行此变更。

我们建议您升级 python-django 程序包。

如需了解 python-django 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python-django

有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

[0] https://lists.debian.org/debian-lts-announce/2024/12/msg00000.html

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。