更新后的 python-django 程序包修复了安全漏洞：

Jedediah Smith 发现 Django 未正确处理 WSGI 标头中的下划线。远程攻击者可能利用此问题在特定环境中欺骗标头 (CVE-2015-0219)。

Mikko Ohtamaa 发现 Django 未正确处理用户提供的重定向 URL。远程攻击者可能利用此问题执行跨站脚本攻击 (CVE-2015-0220)。

Alex Gaynor 发现 Django 未正确处理 django.views.static.serve() 中的文件读取。远程攻击者可能利用此问题导致 Django 消耗资源，从而导致拒绝服务 (CVE-2015-0221)。

Keryn Knight 发现 Django 没有正确处理 ModelMultipleChoiceField 的表单。远程攻击者可能利用此问题生成大量 SQL 查询，从而导致数据库拒绝服务。请注意，此问题只影响 python-django (CVE-2015-0222)。

在低于 1.7.6 的 Django 和低于 1.8b2 的 Django 1.8 中 admin/helpers.py 内 contents 函数的跨站脚本 (XSS) 漏洞允许远程攻击者通过 ModelAdmin.readonly_fields 的 model 属性注入任意 Web 脚本或 HTML，这一点已经由 \@property 证实 (CVE-2015-2241)。

在低于 1.6.11 的 Django 1.6.x、低于 1.7.7 的 Django 1.7.x 和低于 1.8c1 的 Django 1.8.x 中的 utils.html.strip_tags 函数中使用某些版本的 Python 时，允许远程攻击者通过增加输入字符串的长度造成拒绝服务（无限循环）(CVE-2015-2316)。

低于 1.4.20 的 Django、Django 1.5.x、低于 1.6.11 的 Django 1.6.x、低于 1.7.7 的 Django 1.7.x 以及低于 1.8c1 的 Django 1.8.x 中的 utils.http.is_safe_url 函数未正确验证 URL，这允许远程攻击者通过 URL 中的控制字符执行跨站脚本 (XSS) 攻击，这一点已由 \x08javascript: URL 证实 (CVE-2015-2317)。

python-django 已更新到 1.6.11，修复了若干安全问题和非安全缺陷。

修复了以下漏洞：

- 使 is_safe_url() 拒绝以控制字符开头的 URL，从而缓解可能通过用户提供的重定向 URL 进行的 XSS 攻击（bnc#923176，CVE-2015-2317）

- 修复了 strip_tags() 中的无限循环可能性（bnc#923172，CVE-2015-2316）

- 通过下划线/破折号合并进行的 WSGI 标头欺骗（bnc#913053，CVE-2015-0219）

- 缓解了可能通过用户提供的重定向 URL 进行的 XSS 攻击

- 针对“django.views.static.serve”的拒绝服务攻击（bnc#913056，CVE-2015-0221）

- 由“ModelMultipleChoiceField”造成的数据库拒绝服务（bnc#913055，CVE-2015-0222）

该更新还包含针对非安全缺陷以及功能和稳定性问题的补丁。

更新到 1.4.18，修复了多个 CVE

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

修复 CVE-2015-0219 (rhbz#1181939)

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Ubuntu 14.04 LTS 主机上安装的一个程序包受到 USN-2469-1 公告中提及的多个漏洞影响。

    Jedediah Smith 发现 Django 未正确处理 WSGI 标头中的下划线。远程攻击者可能利用此问题在特定环境中欺骗标头 (CVE-2015-0219)。

    Mikko Ohtamaa 发现 Django 未正确处理用户提供的重定向 URL。远程攻击者可能利用此问题执行跨站脚本攻击。(CVE-2015-0220)

    Alex Gaynor 发现 Django 未正确处理 django.views.static.serve() 中的文件读取。远程攻击者可能利用此问题导致 Django 消耗资源，从而导致拒绝服务。(CVE-2015-0221)

    Keryn Knight 发现 Django 没有正确处理 ModelMultipleChoiceField 的表单。远程攻击者可能利用此问题生成大量 SQL 查询，从而导致数据库拒绝服务。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 14.10。(CVE-2015-0222)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新后的 python-django 程序包修复了安全漏洞：

Jedediah Smith 发现 Django 未正确处理 WSGI 标头中的下划线。远程攻击者可能利用此问题在特定环境中欺骗标头 (CVE-2015-0219)。

Mikko Ohtamaa 发现 Django 未正确处理用户提供的重定向 URL。远程攻击者可能利用此问题执行跨站脚本攻击 (CVE-2015-0220)。

Alex Gaynor 发现 Django 未正确处理 django.views.static.serve() 中的文件读取。远程攻击者可能利用此问题导致 Django 消耗资源，从而导致拒绝服务 (CVE-2015-0221)。

USN-2469-1 修复了 Django 中的漏洞。针对 CVE-2015-0221 的安全补丁在通过 GZipMiddleware 提供静态内容时，在 Ubuntu 10.04 LTS 和 Ubuntu 12.04 LTS 中引入了回归。此更新修复了该问题。

我们对不便之处表示抱歉。

Jedediah Smith 发现 Django 未正确处理 WSGI 标头中的下划线。远程攻击者可能利用此问题在特定环境中欺骗标头。(CVE-2015-0219)

Mikko Ohtamaa 发现 Django 未正确处理用户提供的重定向 URL。远程攻击者可能利用此问题执行跨站脚本攻击。(CVE-2015-0220)

Alex Gaynor 发现 Django 未正确处理 django.views.static.serve() 中的文件读取。远程攻击者可能利用此问题导致 Django 消耗资源，从而导致拒绝服务。
(CVE-2015-0221)

Keryn Knight 发现 Django 没有正确处理 ModelMultipleChoiceField 的表单。远程攻击者可能利用此问题生成大量 SQL 查询，从而导致数据库拒绝服务。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 14.10。
(CVE-2015-0222)。

更新 python Django 以修复在验证视图模块中发生远程拒绝服务（资源耗尽）的可能性。（bsc#941587，CVE-2015-5963）

is_safe_url() 也被设为拒绝以控制字符开头的 URL，以减小通过用户提供的重定向 URL 执行 XSS 攻击的可能性（bnc#923176、CVE-2015-2317）

- 方法 check_for_test_cookie 已被弃用，bnc#914706

- 更新到版本 1.5.12，包含多个安全补丁：

+ 通过 admin 字段中动态生成的内联和允许的字段引用修复了回归

+ 允许在 admin 字段中引用相关的多对多字段

+ 允许对 admin 字段进行内联和隐藏引用

Django 项目报告：

今天 Django 团队发布了多个版本（Django 1.4.18、Django 1.6.10 和 Django 1.7.3），这是我们的安全流程的一部分。
可访问 PyPI 和我们的下载页面立即下载这些版本。

这些版本解决了若干安全问题。我们鼓励所有 Django 用户尽快升级。

在 Django（高级 Python Web 开发框架）中发现多个漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2015-0219 Jedediah Smith 报告，Django 中的 WSGI environ 不区分含有破折号的标头与含有下划线的标头。远程攻击者可利用此缺陷假冒 WSGI 标头。

- CVE-2015-0220 Mikko Ohtamaa 发现，Django 中的 django.util.http.is_safe_url() 函数未正确处理用户提供的重定向 URL 中的前导空白。远程攻击者可能利用此缺陷执行跨站脚本攻击。

- CVE-2015-0221 Alex Gaynor 报告，在 Django 处理 django.views.static.serve() 视图中读取文件的方式发现缺陷。远程攻击者可能利用此缺陷，通过资源消耗造成拒绝服务。

已在 Django 中发现多种安全问题：
https://www.djangoproject.com/weblog/2015/jan/13/security/

对于 Debian 6 Squeeeze，已在 python-django 的版本 1.2.3-3+squeeze12 中修复这些问题。此处是上游开发人员必须说出的关于这些问题的内容：

CVE-2015-0219 - 通过下划线/破折号合并进行的 WSGI 标头欺骗

当将 HTTP 标头放置到 WSGI environ 中时，通过转换成大写、将所有破折号转换成下划线并在前面添加 HTTP_ 对它们进行规范化。例如，标头 X-Auth-User 在 WSGI environ 中将变成 HTTP_X_AUTH_USER（并且在 Django 的 request.META 字典中也进行此转换）。

但是，这意味着 WSGI environ 无法区分含有破折号的标头与含有下划线的标头：X-Auth-User 和 X-Auth_User 都变成 HTTP_X_AUTH_USER。这意味着如果以安全敏感的方式使用标头（例如，传递来自前端代理的认证信息），即使代理仔细剥离 X-Auth-User 的任何传入值，攻击者也可提供 X-Auth_User 标头（使用下划线）并绕过此保护。

为了防止此类攻击，Nginx 和 Apache 2.4+ 默认情况下剥离传入请求中含有下划线的所有标头。Django 的内置开发服务器现在执行同样的操作。建议不要将 Django 的开发服务器用于生产用途，但是匹配常见生产服务器的行为减少了部署期间行为更改的外围应用。

CVE-2015-0220 - 可能通过用户提供的重定向 URL 进行的 XSS 攻击

Django 在某些情况下依赖用户输入（例如
django.contrib.auth.views.login() 和国际化）以将用户重定向到“on success”URL。这些重定向的安全检查（即 django.util.http.is_safe_url()）未剥离经测试的 URL 的前导空白，因此将“\njavascript:...”这样的 URL 视为安全的。
如果开发人员依赖 is_safe_url() 提供安全重定向目标并且将此类 URL 放入链接，则它们可遭受 XSS 攻击。此缺陷当前不影响 Django，因为我们仅将此 URL 放入 Location 响应头，并且浏览器似乎忽略此处的 JavaScript。

CVE-2015-0221 - 针对 django.views.static.serve 的拒绝服务攻击

在旧版本的 Django 中，django.views.static.serve() 视图读取文件时一次处理一行。因此，没有换行符的大文件将导致内存使用量等于该文件的大小。
攻击者可利用此漏洞通过同时请求许多大文件发起拒绝服务攻击。此视图现在以区块读取文件以防止大内存使用量。

但是，请注意，此视图始终带有一个警告，表明它未针对生产用途进行强化并且应该仅用作开发辅助。如果您未这样做，现在可能是审计您的项目并使用真实的前端 Web 服务器在生产中处理您的文件的好时机。

请注意，Debian 6 Squeeze 中使用的 Django 版本不受 CVE-2015-0222（由 ModelMultipleChoiceField 造成的数据库拒绝服务）影响，因为此版本中不存在该功能。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
82362	Mandriva Linux 安全公告：python-django (MDVSA-2015:109)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium
82515	openSUSE 安全更新：python-Django (openSUSE-2015-281)	Nessus	SuSE Local Security Checks	2015/4/2	2021/1/19	medium
81008	Fedora 20：python-django14-1.4.18-1.fc20 (2015-0804)	Nessus	Fedora Local Security Checks	2015/1/27	2021/1/11	medium
80975	Fedora 21：python-django-1.6.10-1.fc21 (2015-0714)	Nessus	Fedora Local Security Checks	2015/1/26	2021/1/11	medium
80516	Ubuntu 14.04 LTS：Django 漏洞 (USN-2469-1)	Nessus	Ubuntu Local Security Checks	2015/1/14	2025/9/3	high
81236	Mandriva Linux 安全公告：python-django (MDVSA-2015:036)	Nessus	Mandriva Local Security Checks	2015/2/9	2021/1/6	medium
81177	Ubuntu 10.04 LTS / 12.04 LTS：python-django 回归 (USN-2469-2)	Nessus	Ubuntu Local Security Checks	2015/2/5	2021/1/19	medium
81007	Fedora 20：python-django-1.6.10-1.fc20 (2015-0790)	Nessus	Fedora Local Security Checks	2015/1/27	2021/1/11	medium
86091	openSUSE 安全更新：python-django (openSUSE-2015-598)	Nessus	SuSE Local Security Checks	2015/9/23	2021/1/19	medium
80983	FreeBSD：django -- 多种漏洞 (9c7b6c20-a324-11e4-879c-00e0814cab4e)	Nessus	FreeBSD Local Security Checks	2015/1/26	2021/1/6	medium
81131	Debian DSA-3151-1：python-django - 安全更新	Nessus	Debian Local Security Checks	2015/2/3	2021/1/11	medium
82126	Debian DLA-143-1：python-django 安全更新	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	medium

检测

插件搜索

medium

medium

medium

medium

high

medium

medium

medium

medium

medium

medium

medium