- 更新修复 CVE-2013-0305、CVE-2013-0306

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在高级 Python Web 开发框架 Django 中发现多个漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2012-4520 James Kettle 发现 Django 在处理某些请求时未正确过滤 HTTP 主机标头。攻击者可利用此问题生成并造成部分 Django（尤其是密码重置机制）向用户显示任意 URL。

- CVE-2013-0305 Orange Tsai 发现捆绑的 Django 管理界面可通过其历史记录日志暴露本应隐藏的信息。

- CVE-2013-0306 Mozilla 发现攻击者可滥用 Django 对 formset 中的表单数量的跟踪来造成极端内存消耗导致的拒绝服务攻击。

- CVE-2013-1665 Michael Koziarski 发现 Django 的 XML 反序列化容易遭受实体扩展和外部实体/DTD 攻击。

python-django 已更新到 1.4.5，修复了各种安全问题和缺陷。

更新到 1.4.5：

- 安全版本。

- 修复 bnc#807175 / bnc#787521 / CVE-2012-4520 / CVE-2013-0305 / CVE-2013-0306 和 CVE-2013-1665。

- 更新到 1.4.3：

- 安全版本：

- 主机标头中毒

- 重定向中毒

- 请查看发明说明以了解详细信息：https://www.djangoproject.com/weblog/2012/dec/10/security

- 添加从 /usr/bin/django-admin.py 到 /usr/bin/django-admin 的符号链接

- 更新到 1.4.2：

- 安全版本：

- 主机标头中毒

- 请查看发明说明以了解详细信息：https://www.djangoproject.com/weblog/2012/oct/17/security

- 更新到 1.4.1：

- 安全版本：

- 认证视图中的跨站脚本

- 图像验证中的拒绝服务

- 通过 get_image_dimensions() 造成的拒绝服务

- 请查看发明说明以了解详细信息：https://www.djangoproject.com/weblog/2012/jul/30/security-releases-issued

- 添加修补程序以支持 CSRF_COOKIE_HTTPONLY 配置

更新到 Django-1.4.4 安全补丁。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Django 项目报告：

这些安全版本修复了四个问题：一个潜在的钓鱼矢量、一个拒绝服务矢量、一个信息泄漏问题和一系列 XML 漏洞。

- 主机标头中毒

攻击者可导致 Django 生成并显示链接到任意域的 URL。此问题可被用作钓鱼攻击的一部分。
这些版本通过引入新设置 ALLOWED_HOSTS 来修复此问题，该设置用于指定您的站点已知要响应的域的白名单。

重要：Django 1.3.6 和 1.4.4 默认将 ALLOWED_HOSTS 设置为允许所有主机。这意味着要真正修复此安全漏洞，应在升级之后立即自行定义此设置。

- Formset 拒绝服务

攻击者可滥用 Django 对 formset 中的表单数量的跟踪造成拒绝服务攻击。已通过添加默认最大表单数 1,000 来修复此问题。如果愿意，您仍可手动指定更大的 max_num，但 1,000 对任何人应该都已足够。

- XML 攻击

Django 的序列化框架容易遭受通过 XML 实体扩展和外部引用造成的攻击；此问题现已得到修复。然而，如果要在应用程序的其他部分解析任意 XML，我们建议您了解 defusedxml Python 程序包，这些程序包在您解析 XML 的任何地方纠正此问题，而不仅通过 Django 的序列化框架。

- 通过管理员历史记录日志造成的数据泄漏

Django 的管理界面可通过其历史记录日志暴露故意隐藏的信息。此问题已得到修复。

James Kettle 发现 Django 在处理某些请求时未正确过滤 Host HTTP 标头。攻击者可利用此漏洞生成任意 URL 并显示给用户。尽管此问题之前已在 USN-1632-1 中得到解决，但此更新还是向 host 标头验证添加更多增强措施。此更新还添加一个新的 ALLOWED_HOSTS 设置，可对可接受的标头值列表进行设置。(CVE-2012-4520)

Orange Tsai 发现 Django 在管理界面中显示历史记录视图时错误地执行权限检查。无论预期权限如何，管理员都可使用此缺陷来查看任何对象的历史记录。(CVE-2013-0305)

发现 Django 在生成 formset 时未正确处理大量表单。攻击者可利用此缺陷使 Django 消耗内存，从而导致拒绝服务。
(CVE-2013-0306)

发现 Django 错误地反序列化 XML。攻击者可使用此缺陷来执行实体扩展和外部实体/DTD 攻击。此更新修改了 Django 行为，以便不再允许 DTD、执行实体扩展和获取外部实体/DTD。（CVE-2013-1664、CVE-2013-1665）。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
65233	Fedora 17：Django-1.4.5-1.fc17 (2013-2874)	Nessus	Fedora Local Security Checks	2013/3/13	2021/1/11	medium
64898	Debian DSA-2634-1：python-django - 多个漏洞	Nessus	Debian Local Security Checks	2013/2/27	2021/1/11	medium
75089	openSUSE 安全更新：python-django (openSUSE-SU-2013:1203-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
65232	Fedora 18：python-django-1.4.5-2.fc18 (2013-2843)	Nessus	Fedora Local Security Checks	2013/3/13	2021/1/11	medium
64873	FreeBSD：django -- 多种漏洞 (21c59f5e-7cc5-11e2-9c11-080027a5ec9a)	Nessus	FreeBSD Local Security Checks	2013/2/25	2021/1/6	medium
65096	Ubuntu 10.04 LTS / 11.10 / 12.04 LTS / 12.10：python-django 漏洞 (USN-1757-1)	Nessus	Ubuntu Local Security Checks	2013/3/8	2019/9/19	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium