FreeBSD:django -- 多种漏洞 (21c59f5e-7cc5-11e2-9c11-080027a5ec9a)

medium Nessus 插件 ID 64873
全新!插件严重性现在使用 CVSS v3

计算的插件严重性默认已更新为使用 CVSS v3。没有 CVSS v3 分数的插件将回退到 CVSS v2 来计算严重性。可以在设置下拉列表中切换严重性显示首选项。

简介

远程 FreeBSD 主机缺少一个或多个与安全有关的更新。

描述

Django 项目报告:

这些安全版本修复了四个问题:一个潜在的钓鱼矢量、一个拒绝服务矢量、一个信息泄漏问题和一系列 XML 漏洞。

- 主机标头中毒

攻击者可导致 Django 生成并显示链接到任意域的 URL。此问题可被用作钓鱼攻击的一部分。
这些版本通过引入新设置 ALLOWED_HOSTS 来修复此问题,该设置用于指定您的站点已知要响应的域的白名单。

重要:Django 1.3.6 和 1.4.4 默认将 ALLOWED_HOSTS 设置为允许所有主机。这意味着要真正修复此安全漏洞,应在升级之后立即自行定义此设置。

- Formset 拒绝服务

攻击者可滥用 Django 对 formset 中的表单数量的跟踪造成拒绝服务攻击。已通过添加默认最大表单数 1,000 来修复此问题。如果愿意,您仍可手动指定更大的 max_num,但 1,000 对任何人应该都已足够。

- XML 攻击

Django 的序列化框架容易遭受通过 XML 实体扩展和外部引用造成的攻击;此问题现已得到修复。然而,如果要在应用程序的其他部分解析任意 XML,我们建议您了解 defusedxml Python 程序包,这些程序包在您解析 XML 的任何地方纠正此问题,而不仅通过 Django 的序列化框架。

- 通过管理员历史记录日志造成的数据泄漏

Django 的管理界面可通过其历史记录日志暴露故意隐藏的信息。此问题已得到修复。

解决方案

更新受影响的数据包。

另见

http://www.nessus.org/u?325e72d2

插件详情

严重性: Medium

ID: 64873

文件名: freebsd_pkg_21c59f5e7cc511e29c11080027a5ec9a.nasl

版本: 1.8

类型: local

发布时间: 2013/2/25

最近更新时间: 2021/1/6

依存关系: ssh_get_info.nasl

风险信息

VPR

风险因素: Low

分数: 3.6

CVSS v2

风险因素: Medium

基本分数: 5

时间分数: 3.7

矢量: AV:N/AC:L/Au:N/C:N/I:N/A:P

时间矢量: E:U/RL:OF/RC:C

漏洞信息

CPE: p-cpe:/a:freebsd:freebsd:py26-django, p-cpe:/a:freebsd:freebsd:py27-django, cpe:/o:freebsd:freebsd

必需的 KB 项: Host/local_checks_enabled, Host/FreeBSD/release, Host/FreeBSD/pkg_info

易利用性: No known exploits are available

补丁发布日期: 2013/2/24

漏洞发布日期: 2013/2/21

参考资料信息

CVE: CVE-2013-0305, CVE-2013-0306, CVE-2013-1664, CVE-2013-1665

BID: 58022, 58061