Ryan Butterfield 发现 Django 未正确处理日期和模板过滤器。远程攻击者可能利用此问题从应用程序设置获取秘密信息。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行了自动清理和排版。

已发现 Django（一个 Web 开发框架）的日期模板过滤器中存在潜在的设置泄漏。

如果应用程序允许用户为日期指定未经验证的格式，并将此格式传递到日期过滤器（如 {{last_updated|date:user_date_format }}），则恶意用户可以通过指定一个设置密钥（如“SECRET_KEY”，而非“j/m/Y”这样的日期格式）获取应用程序设置中的任何秘密。

为修补此问题，日期模板过滤器使用的底层函数 django.utils.formats.get_format() 现在只允许访问日期/时间格式设置。

对于 Debian 6 Squeeze，已在 python-django 版本 1.2.3-3+squeeze15 中修复此问题。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

python-django 程序包已更新，修复了以下安全问题：

- CVE-2015-8213：修复了一个问题，防止日期模板过滤器中的设置泄漏 (bnc#955412)。

更新到 1.8.7，修复了 CVE-2015-8213 (rhbz#1285278) ---- python- django-1.8.4-1.fc22 - 不为 python 可执行文件安装 bash 完成（Ville Skytta、rhbz#1253076）- CVE-2015-5963 通过填充会话存放区而可能造成 logout() 查看拒绝服务 (rhbz#1254911) - CVE-2015-5964 通过填充会话存储来可能造成 logout() 视图拒绝服务 (rhbz#1252891) python-django-1.8.4-1.fc23 - 不为 python 可执行文件安装 bash 完成（Ville Skytta、rhbz#1253076）- CVE-2015-5963 通过填充会话存储来可能造成 logout() 视图拒绝服务 (rhbz#1254911) - CVE-2015-5964 通过填充会话存储来可能造成 logout() 视图拒绝服务 (rhbz#1252891)

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

此更新修复了 CVE-2015-8213：修复了日期模板筛选器中可能发生的设置泄漏问题，如需详细信息，请参阅 https://www.djangoproject.com/weblog/2015/nov/24/security-releases-issued/

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Tim Graham 报告：

如果应用程序允许用户为日期指定未经验证的格式，并将此格式传递到日期过滤器（如 {{last_updated|date:user_date_format }}），则恶意用户可以通过指定一个设置密钥（如“SECRET_KEY”，而非“j/m/Y”这样的日期格式）获取应用程序设置中的任何秘密。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2016:0129 公告中提及的漏洞的影响。

    Django 是高级的 Python Web 框架，可促进快速开发和简介、实用的设计。它侧重于尽可能实现自动化并遵守 DRY（不要重复自己）原则。

    在 Django 日期过滤器中发现信息暴露缺陷。如果应用程序允许用户提供未经验证的日期格式，则恶意的最终用户可通过提供相关的 applications-settings 密钥（而非有效的日期格式）来暴露 applications-settings 数据。
    (CVE-2015-8213)

    Red Hat 在此感谢 Django 项目报告此问题。
    上游感谢原始报告者 Ryan Butterfield。

    建议所有 python-django 用户升级到这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Ryan Butterfield 在高级 Python Web 开发框架 python-django 中发现日期模板过滤器中的一个漏洞。远程攻击者可利用此缺陷获取应用程序设置中的任何秘密。

python-Django 程序包已更新，修复了以下安全问题：

- CVE-2015-8213：修复了一个问题，防止日期模板过滤器中的设置泄漏 (bnc#955412)。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
87065	Ubuntu 14.04 LTS：Django 漏洞 (USN-2816-1)	Nessus	Ubuntu Local Security Checks	2015/11/25	2024/8/28	medium
87070	Debian DLA-349-1：python-django 安全更新	Nessus	Debian Local Security Checks	2015/11/30	2021/1/11	medium
87438	openSUSE 安全更新：python-django (openSUSE-2015-860)	Nessus	SuSE Local Security Checks	2015/12/17	2021/1/19	medium
89201	Fedora 22：python-django-1.8.7-1.fc22 (2015-323274d412)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	medium
89358	Fedora 23：python-django-1.8.7-1.fc23 (2015-a8c8f60fbd)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	medium
87114	FreeBSD：django -- 信息泄漏漏洞 (11c52bc6-97aa-11e5-b8df-14dae9d210b8)	Nessus	FreeBSD Local Security Checks	2015/12/1	2021/1/6	medium
210213	RHEL 7：python-django (RHSA-2016:0129)	Nessus	Red Hat Local Security Checks	2024/11/4	2024/11/4	medium
87077	Debian DSA-3404-1：python-django - 安全更新	Nessus	Debian Local Security Checks	2015/11/30	2021/1/11	medium
87439	openSUSE 安全更新：python-Django (openSUSE-2015-862)	Nessus	SuSE Local Security Checks	2015/12/17	2021/1/19	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium