修复 1.8.10 中的回归 ---- 1.8.10 的更新，可修复 CVE-2016-2512、CVE-2016-2513

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2016:0505 公告中提及的多个漏洞的影响。

    Django 是高级的 Python Web 框架，可促进快速开发和简介、实用的设计。它侧重于尽可能实现自动化并遵守 DRY（不要重复自己）原则。

    安全修复：

    * 在 Django.utils.http.is_safe_url() 函数过滤身份验证 URL 的方式中发现开放重定向缺陷。能够诱骗受害者访问特制 URL 的攻击者可利用此缺陷，将该受害者重定向至恶意站点。(CVE-2016-2512)

    * 在 Django 的 PBKDF2PasswordHasher 执行密码哈希的方式中发现时序攻击缺陷。
    通过旧版 PBKDF2PasswordHasher 进行哈希处理的密码使用更少的哈希迭代，因此允许攻击者根据登录请求中的时间差异枚举现有用户。
    (CVE-2016-2513)

    Red Hat 在此感谢 Django 项目报告这些问题。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Mark Striemer 发现，Django 未正确处理用户提供的包含基本认证凭据的重定向 URL。远程攻击者可能利用此问题发动跨站脚本攻击或恶意重定向。(CVE-2016-2512)

Sjoerd Job Postmus 发现，在执行密码哈希操作时，Django 未正确处理定时。远程攻击者可能利用此问题执行用户枚举。(CVE-2016-2513)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Tim Graham 报告：

通过用户提供且含有基本认证的重定向 URL，可造成恶意重定向和潜在的 XSS 攻击

用户通过密码哈希计算器工作因素升级的时间性差异进行枚举

在 Django（高级 Python Web 开发框架）中发现多个漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2016-2512 Mark Striemer 发现某些由用户提供、包含基本身份认证凭据的重定向 URL 并未被正确处理，可能会允许远程攻击者执行恶意重定向，或跨站脚本攻击。

- CVE-2016-2513 Sjoerd Job Postmus 发现 Django 允许用户通过密码哈希作因素升级的时间差进行枚举。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
90015	Fedora 22：python-django-1.8.11-1.fc22 (2016-b004d6d8f7)	Nessus	Fedora Local Security Checks	2016/3/18	2021/1/11	high
210163	RHEL 7：python-django (RHSA-2016:0505)	Nessus	Red Hat Local Security Checks	2024/11/4	2025/4/15	medium
90012	Fedora 23：python-django-1.8.11-1.fc23 (2016-11183ea08d)	Nessus	Fedora Local Security Checks	2016/3/18	2021/1/11	high
89079	Ubuntu 14.04 LTS：Django 漏洞 (USN-2915-1)	Nessus	Ubuntu Local Security Checks	2016/3/2	2024/8/27	high
89728	FreeBSD：django -- 多种漏洞 (f9e6c0d1-e4cc-11e5-b2bd-002590263bf5)	Nessus	FreeBSD Local Security Checks	2016/3/8	2021/1/4	high
90409	Debian DSA-3544-1：python-django - 安全更新	Nessus	Debian Local Security Checks	2016/4/8	2021/1/11	high

检测

插件搜索

high

medium

high

high

high

high