远程 Ubuntu 18.04 LTS / 20.04 LTS / 20.10 / 21.04 主机上安装的程序包受到 USN-4975-1 公告中提及的多个漏洞的影响。

  - 在 Django 2.2.22 之前的 2.2 版、3.1.10 之前的 3.1 版 ，以及 3.2.2 之前的 3.2 版（与 Python 3.9.5 及更高版本）中，URLValidator 未禁止换行符和制表符（除非使用 URLField 表单字段）。如果应用程序在 HTTP 响应中使用包含换行符的值，则可能发生标头注入。Django 本身不受影响，因为 HttpResponse 禁止在 HTTP 标头中使用换行符。(CVE-2021-32052)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2021: 5070 公告中提及的多个漏洞影响。

  - django：通过上传的文件可能造成目录遍历 (CVE-2021-28658)

  - django：通过上传的文件可能造成目录遍历 (CVE-2021-31542)

  - django：通过 archive.extract() 执行潜在目录遍历 (CVE-2021-3281)

  - django：通过“admindocs”可能造成目录遍历 (CVE-2021-33203)

  - django：自验证器接受 IPv4 地址中的前导零后，可能发生不明 SSRF、RFI 和 LFI 攻击 (CVE-2021-33571)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2021: 3490 公告中提及的多个漏洞影响。

  - django：通过 archive.extract() 执行潜在目录遍历 (CVE-2021-3281)

  - django：通过“admindocs”可能造成目录遍历 (CVE-2021-33203)

  - django：自验证器接受 IPv4 地址中的前导零后，可能发生不明 SSRF、RFI 和 LFI 攻击 (CVE-2021-33571)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在基于 Python 的 Web 开发框架 Django 中发现了两个问题：

  - CVE-2021-33203：通过 admindocs 可能造成目录遍历

    工作人员可使用 admindocs TemplateDetailView 视图检查是否存在任意文件。
    此外，当（且仅当）开发人员将默认 admindocs 模板自定义为同时显示文件内容时，不仅会暴露 admindocs 模板，还会暴露文件内容。

    作为缓解措施，现在应用了路径审查，并且只能加载模板根目录中的文件。

    根据 Django 安全策略，此问题属于低危问题。

    感谢 CodeQL Python 团队的 Rasmus Lerchedahl Petersen 和 Rasmus Wriedt Larsen 提供此报告。

  - CVE-2021-33571：自验证器接受 IPv4 地址中的前导零后，可能发生不明 SSRF、RFI 和 LFI 攻击

    URLValidator、validate_ipv4_address() 和 validate_ipv46_address() 不会禁止在八进制字面量中使用前导零字符。如果使用了此类值，则您可能会遭受不确定的 SSRF、RFI 和 LFI 攻击。

    validate_ipv4_address() 和 validate_ipv46_address() 验证器在 Python 3.9.5+ 上不受影响。

    根据 Django 安全策略，此问题属于中危问题。

对于 Debian 9“Stretch”，已在版本 1:1.10.7-2+deb9u14 中修复此问题。

我们建议您升级 python-django 程序包。

如需了解 python-django 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python-django

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 Debian 10 主机上安装的程序包受到 dla-3744 公告中提及的多个漏洞影响。

  - 在 Django 2.2 至 2.2.20 版本、Django 3.0 至 3.0.14 版本以及 Django 3.1 至 3.1.8 版本中，MultiPartParser 允许攻击者通过已上传文件（已构建适当的文件名）发动目录遍历攻击。内置上传处理程序不受此漏洞影响。(CVE-2021-28658)

  - 在 Django 2.2 版的 2.2.21 之前版本、3.1 版的 3.1.9 之前版本以及 3.2 版的 3.2.1 之前版本中，MultiPartParser、UploadedFile 和 FieldFile 允许攻击者通过包含适当构建之文件名的已上传文件发动目录遍历攻击。
    (CVE-2021-31542)

  - Django 2.2.24 之前版本、Django 3.x 至 3.1.12 版本以及 Django 3.2.x 至 3.2.4 版本可能会通过 django.contrib.admindocs 进行目录遍历。工作人员可使用 TemplateDetailView 视图检查是否存在任意文件。此外，当（且仅当）应用程序开发人员将默认 admindocs 模板自定义为同时显示文件内容时，不仅会暴露 admindocs 模板，还会暴露文件内容。换句话说，模板根目录以外也会发生目录遍历。(CVE-2021-33203)

  - 在 Django 2.2 至 2.2.24 版本、Django 3.x 至 3.1.12 版本以及 Django 3.2 至 3.2.4 版本中，URLValidator、validate_ipv4_address 和 validate_ipv46_address 不会禁止在八进制字面量中使用前导零字符。这可能会允许绕过基于 IP 地址的访问控制。（若使用 Python 3.9.5 以上版本，validate_ipv4_address 和 validate_ipv46_address 将不受影响）。(CVE-2021-33571)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2022-9341 公告中提及的多个漏洞的影响。

  - 在 Twisted Web 19.10.0 及其之前的版本中，存在 HTTP 请求拆分漏洞。当出现两个内容-长度标头时，第一个标头会受到忽略。当第二个内容-长度值设置为零时，请求正文被解释为管道请求。(CVE-2020-10108)

  - 在 Twisted Web 19.10.0 及其之前的版本中，存在 HTTP 请求拆分漏洞。当显示 content-length 和分块编码标头时，content-length 优先并且请求正文的其余部分被解释为管道请求。(CVE-2020-10109)

  - 在 python-lxml 的清洁模块中发现 XSS 漏洞。模块的解析器未正确模拟浏览器，由此导致审查器和用户页面中的行为不同。远程攻击者可利用此缺陷运行任意 HTML/JS 代码。(CVE-2020-27783)

  - 在 PyYAML 5.1 之前版本中，如果与不受信任的数据一起使用 yaml.load() API，则此 API 可能会执行任意代码。5.1 版本已弃用 load() 函数，并引入了“UnsafeLoader”以实现与该函数的向后兼容性。(CVE-2017-18342)

  - Django 2.2.24 之前版本、Django 3.x 至 3.1.12 版本以及 Django 3.2.x 至 3.2.4 版本可能会通过 django.contrib.admindocs 进行目录遍历。工作人员可使用 TemplateDetailView 视图检查是否存在任意文件。此外，当（且仅当）应用程序开发人员将默认 admindocs 模板自定义为同时显示文件内容时，不仅会暴露 admindocs 模板，还会暴露文件内容。换句话说，模板根目录以外也会发生目录遍历。(CVE-2021-33203)

  - 在 Django 2.2 至 2.2.24 版本、Django 3.x 至 3.1.12 版本以及 Django 3.2 至 3.2.4 版本中，URLValidator、validate_ipv4_address 和 validate_ipv46_address 不会禁止在八进制字面量中使用前导零字符。这可能会允许绕过基于 IP 地址的访问控制。（若使用 Python 3.9.5 以上版本，validate_ipv4_address 和 validate_ipv46_address 将不受影响）。(CVE-2021-33571)

  - 在 Django 2.2 版至 2.2.25 版、 3.1 版至 3.1.14 版和 3.2 版至 3.2.10 版中，URL 结尾带有换行符的 HTTP 请求可绕过基于 URL 路径的上游访问控制。(CVE-2021-44420)

  - 在 Django 2.2 版的 2.2.21 之前版本、3.1 版的 3.1.9 之前版本以及 3.2 版的 3.2.1 之前版本中，MultiPartParser、UploadedFile 和 FieldFile 允许攻击者通过包含适当构建之文件名的已上传文件发动目录遍历攻击。
    (CVE-2021-31542)

  - 在 Django 2.2 至 2.2.20 版本、Django 3.0 至 3.0.14 版本以及 Django 3.1 至 3.1.8 版本中，MultiPartParser 允许攻击者通过已上传文件（已构建适当的文件名）发动目录遍历攻击。内置上传处理程序不受此漏洞影响。(CVE-2021-28658)

  - lxml 指使用 Python 语言处理 XML 和 HTML 的库。在 4.6.5 之前的版本中，lxml.html 中的 HTML Cleaner 允许某些专门构建的脚本内容以及使用数据 URI 嵌入的 SVG 文件中的脚本内容通过。在与安全性有关的上下文中使用 HTML Cleaner 的用户应升级至 lxml 4.6.5，以便接收补丁。没有已知的解决方法可用。(CVE-2021-43818)

  - 在 python-lxml 4.6.3 之前版本的清洁模块中发现 XSS 漏洞。禁用 safe_attrs_only 和 forms 参数时，Cleaner 类不会删除 formaction 属性，导致允许 JS 绕过审查器。远程攻击者可利用此缺陷，对与未正确审查 HTML 进行交互的用户运行任意 JS 代码。已在 lxml 中修复此问题 4.6.3。
    (CVE-2021-28957)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2021: 4702 公告中提及的多个漏洞影响。

  - python-ecdsa：签名解码期间发生非预期且未记录的异常 (CVE-2019-14853)

  - python-ecdsa：未在签名中验证 DER 编码 (CVE-2019-14859)

  - rubygem-activerecord-session_store：使用针对会话 id 的时序攻击劫持会话 (CVE-2019-25025)

  - PyYAML：不完整的 CVE-2020-1747 修复 (CVE-2020-14343)

  - rubygem-nokogiri：通过 Nokogiri: : XML: : Schema 造成 XML 外部实体注入 (CVE-2020-26247)

  - rake：通过 Rake: : FileList 中的 egrep 造成 OS 命令注入 (CVE-2020-8130)

  - guava：通过使用不安全权限创建的临时目录泄露本地信息 (CVE-2020-8908)

  - Satellite：通过 API 造成 BMC 控制器凭据泄露 (CVE-2021-20256)

  - python-aiohttp：aiohttp.web_middlewares.normalize_path_middleware 中存在开放重定向 (CVE-2021-21330)

  - rubygem-actionpack：Action Pack 中可能存在信息泄露/非预期方法执行 (CVE-2021-22885)

  - rails：Action Dispatch 中可能存在拒绝服务漏洞 (CVE-2021-22902)

  - rails：Action Controller Token Authentication 中可能存在 DoS 漏洞 (CVE-2021-22904)

  - django：通过上传的文件可能造成目录遍历 (CVE-2021-28658)

  - rubygem-puma：对 CVE-2019-16770 的修复不完整，可导致拒绝服务 (DoS) (CVE-2021-29509)

  - django：通过上传的文件可能造成目录遍历 (CVE-2021-31542)

  - rubygem-addressable：模板中存在 ReDoS (CVE-2021-32740)

  - django：通过“admindocs”可能造成目录遍历 (CVE-2021-33203)

  - python-urllib3: 解析 URL 授权部分时出现 ReDoS (CVE-2021-33503)

  - django：自验证器接受 IPv4 地址中的前导零后，可能发生不明 SSRF、RFI 和 LFI 攻击 (CVE-2021-33571)

  - Satellite：向经过身份验证的用户泄露 Azure 计算资源 secret_key (CVE-2021-3413)

  - foreman：smart_proxy realm_freeipa 中可能存在中间人漏洞 (CVE-2021-3494)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
150144	Ubuntu 18.04 LTS / 20.04 LTS：Django 漏洞 (USN-4975-1)	Nessus	Ubuntu Local Security Checks	2021/6/2	2024/8/28	high
156005	RHEL 8：Red Hat OpenStack Platform 16.1 (python-django20) (RHSA-2021: 5070)	Nessus	Red Hat Local Security Checks	2021/12/11	2024/11/7	high
165154	RHEL 8：Red Hat OpenStack Platform 16.2 (python-django20) (RHSA-2021: 3490)	Nessus	Red Hat Local Security Checks	2022/9/15	2024/11/7	high
150303	Debian DLA-2676-1：python-django 安全更新	Nessus	Debian Local Security Checks	2021/6/7	2022/10/14	high
191437	Debian dla-3744：python-django - 安全更新	Nessus	Debian Local Security Checks	2024/2/29	2025/1/22	high
160271	Oracle Linux 8：ol-Automation-manager (ELSA-2022-9341)	Nessus	Oracle Linux Local Security Checks	2022/4/27	2024/10/24	critical
155377	RHEL 7：Satellite 6.10 版本（中等）(RHSA-2021: 4702)	Nessus	Red Hat Local Security Checks	2021/11/17	2024/11/7	critical

检测

插件搜索

high

high

high

high

high

critical

critical