Debian DSA-3010-1：python-django - 安全更新

medium Nessus 插件 ID 77344

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

在 Django（高级 Python Web 开发框架）中发现多个漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2014-0480 Florian Apolloner 发现在某些情况下，URL 反向可生成方案相关的 URL，可能意外将用户重定向到不同的主机，导致钓鱼攻击。

- CVE-2014-0481 David Wilson 报告了文件上传拒绝服务漏洞。Django 以其默认配置进行的文件上传处理在上传重复的文件名时，可能降级而产生巨量“os.stat()”系统调用。能够上传文件的远程攻击者可造成上传处理程序的性能变差，最终使其速度变得非常慢。

- CVE-2014-0482 David Greisen 发现在某些情况下，如果更改了 REMOTE_USER 标头而没有相应的注销/登录操作，则使用 RemoteUserMiddleware 中间件和 RemoteUserBackend 认证后端可导致一个用户收到另一个用户的会话。

- CVE-2014-0483 Collin Anderson 发现，通过在管理员变更表页面上修改查询字符串的“popup”和“to_field”参数，可显示任何字段的数据。具有管理界面访问权限并且足够了解模型结构和相应 URL 的用户可构造弹出视图，其中将显示非关系字段（包括应用程序开发人员不打算以此方式暴露的字段）的值。