Mandriva Linux 安全公告：python-django (MDVSA-2014:113)

critical Nessus 插件 ID 74446

语言：

简介

远程 Mandriva Linux 主机缺少安全更新。

描述

已在 python-django 中发现并修正了多种漏洞：

低于 1.4.13 的 Django 1.4、低于 1.5.8 的 Django 1.5、低于 1.6.5 的 Django 1.6 以及低于 1.7b4 的 Django 1.7 未正确将 (1) Vary: Cookie 或 (2) 缓存控制标头包括在响应中，这允许远程攻击者通过某些来自浏览器的请求获取敏感信息或使缓存中毒 (CVE-2014-1418)。

低于 1.4.13 的 Django 1.4、低于 1.5.8 的 Django 1.5、低于 1.6.5 的 Django 1.6 以及低于 1.7b4 的 Django 1.7 中的 django.util.http.is_safe_url 函数未正确验证 URL，这允许远程攻击者通过畸形 URL 执行开放重定向攻击，这一点已由 http:\djangoproject.com 证实。(CVE-2014-3730)。

低于 1.4.11 的 Django、低于 1.5.6 的 Django 1.5.x、低于 1.6.3 的 Django 1.6.x、低于 1.7 beta 2 的 Django 1.7.x 中的 django.core.urlresolvers.reverse 函数允许远程攻击者通过利用使用用户输入和点式 Python 路径构造 URL 的视图，导入和执行任意 Python 模块。(CVE-2014-0472)。

低于 1.4.11 的 Django、低于 1.5.6 的 Django 1.5.x、低于 1.6.3 的 Django 1.6.x、低于 1.7 beta 2 的 Django 1.7.x 中的缓存框架重用所有匿名用户的缓存 CSRF 标记，这允许远程攻击者通过读取匿名用户的 CSRF Cookie 绕过 CSRF 保护 (CVE-2014-0473)。

低于 1.4.11 的 Django、低于 1.5.6 的 Django 1.5.x、低于 1.6.3 的 Django 1.6.x、低于 1.7 beta 2 的 Django 1.7.x 中的 (1) FilePathField、(2) GenericIPAddressField 和 (3) IPAddressField 模型字段类未正确执行类型转换，这允许远程攻击者产生不明影响以及与 MySQL 类型转换相关的矢量。
(CVE-2014-0474)。

更新后的程序包已进行修补，以修正这些问题。