Debian DLA-3164-1：python-django - LTS 安全更新
critical Nessus 插件 ID 166698
语言：
简介
远程 Debian 主机上缺少一个或多个与安全性相关的更新。描述
远程 Debian 10 主机上安装的程序包受到 dla-3164 公告中提及的多个漏洞影响。- 在使用版本不低于 3.7 的 Python 的情况下，在 2.2.16 版之前的 Django 2.2、3.0.10 版之前的 Django 3.0 以及 3.1.1 版之前的 Django 3.1 中发现一个问题。未在创建于文件上传过程中的中间级目录中应用 FILE_UPLOAD_DIRECTORY_PERMISSIONS 模式。使用 collectstatic 管理命令时，也未在收集自中间级别的静态目录中应用该模式。(CVE-2020-24583)
- 在使用版本不低于 3.7 的 Python 的情况下，在 2.2.16 版之前的 Django 2.2、3.0.10 版之前的 Django 3.0 以及 3.1.1 版之前的 Django 3.1 中发现一个问题。文件系统缓存的中间级目录使用系统的标准 umask，而不是 0o077。(CVE-2020-24584)
- 0 到 3.6.13、3.7.0 到 3.7.10、3.8.0 到 3.8.8、3.9.0 到 3.9.2 版本的 python/cpython 程序包容易受到 Web 缓存中毒问题的影响，可使用名为参数隐身的矢量通过 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 来造成此问题。当攻击者可使用分号 (;) 分隔查询参数时，这些参数可导致代理（以默认配置运行）与服务器之间的请求解释出现差异。这可导致恶意请求被缓存为完全安全的请求。这是因为代理通常不会将分号视为分隔符，所以不会将其包括在未加密参数的缓存密钥中。 (CVE-2021-23336)
- 在 2.2 之前的 Django 2.2.18、 3.0 之前的 Django 3.0.12 和 3.1.6 之前的 Django 3.1 中，django.utils.archive.extract 方法（由 startapp --template 和 startproject --template 使用）允许通过具有绝对路径或带点段的相对路径的存档遍历目录。(CVE-2021-3281)
- 在 3.2.14 版之前的 Django 3.2 和 4.0.6 版之前的 Django 4.0 中发现一个问题。如果不受信任的数据被用作 kind/lookup_name 值，则 Trunc() 和 Extract() 数据库函数会受到 SQL 注入的影响。
将查找名称和种类限制为已知安全列表的应用程序不受影响。
(CVE-2022-34265)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级 python-django 程序包。对于 Debian 10 Buster，已在版本 1 中修复这些问题
另见
https://www.debian.org/lts/security/2022/dla-3164
https://security-tracker.debian.org/tracker/CVE-2020-24583
https://security-tracker.debian.org/tracker/CVE-2020-24584
https://security-tracker.debian.org/tracker/CVE-2021-23336
https://security-tracker.debian.org/tracker/CVE-2021-3281
插件详情
严重性: Critical
ID: 166698
文件名: debian_DLA-3164.nasl
版本: 1.3
类型: local
代理: unix
发布时间: 2022/10/28
最近更新时间: 2023/10/6
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 5.9
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2022-34265
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.8
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:debian:debian_linux:python-django, p-cpe:/a:debian:debian_linux:python-django-common, p-cpe:/a:debian:debian_linux:python-django-doc, p-cpe:/a:debian:debian_linux:python3-django, cpe:/o:debian:debian_linux:10.0
必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可利用: true
易利用性: Exploits are available
补丁发布日期: 2022/10/28
漏洞发布日期: 2020/9/1
参考资料信息
CVE: CVE-2020-24583, CVE-2020-24584, CVE-2021-23336, CVE-2021-3281, CVE-2022-34265