远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2016:2041 公告中提及的漏洞的影响。

    Django 是高级的 Python Web 框架，可促进快速开发和简介、实用的设计。它侧重于尽可能实现自动化并遵守 DRY（不要重复自己）原则。

    下列程序包已升级到更新的上游版本：python-django (1.8.15)。
    (BZ#1378620)

    安全修复：

    * 在 Django 中发现 CSRF 缺陷，其中 Google Analytics 和 Django 的 cookie 解析之间的交互可允许攻击者设置任意 cookie，从而导致绕过 CSRF 保护。在此更新中，“request.COOKIES”的解析器已简化，可以更好地匹配浏览器行为以及缓解此攻击。 “request.COOKIES”现在可能包含依据 RFC 6265 无效但可使用“document.cookie”设置的 cookie。 (CVE-2016-7401)

    Red Hat 在此感谢上游 Django 项目报告此问题。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 7：python-django (RHSA-2016:2041)

high Nessus 插件 ID 234409

未找到变更日志