通过填充会话存储的 logout() 视图中可能的拒绝服务

以前，当匿名访问 django.contrib.auth.views.logout 视图时（假设其未按照管理中的方式使用 django.contrib.auth.decorators.login_required 进行修饰），则可创建会话。这可能允许攻击者通过发送重复请求轻松创建大量新会话记录，进而填满会话存储或导致其他用户的会话记录被逐出。

django.contrib.sessions.middleware.SessionMiddleware 已修改为不再创建空会话记录。

此部分修复已分配为 CVE-2015-5963。

此外，已修改 contrib.sessions.backends.base.SessionBase.flush() 和 cache_db.SessionStore.flush() 方法以避免创建新的空白会话。第三方会话后端的维护者应检查各自的后端中是否存在相同漏洞，并予以修正。

此部分修复已分配为 CVE-2015-5964。

我们建议您升级 python-django 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

检测

Debian DLA-301-1：python-django 安全更新

medium Nessus 插件 ID 85656

未找到变更日志