Debian DLA-272-1：python-django 安全更新

high Nessus 插件 ID 84812

语言：

简介

远程 Debian 主机缺少安全更新。

描述

在 Django 中发现多个漏洞，一个高级 Python Web 开发框架：

CVE-2015-2317

Daniel Chatfield 发现 python-django（高级 Python Web 开发框架）未正确处理用户提供的重定向 URL。远程攻击者可利用此缺陷执行跨站脚本攻击。

CVE-2015-5143

Eric Peterson 和 Lin Hua Cheng 发现，在每次访问会话时在会话存储中创建了一条新的空记录，并且在请求 cookie 中提供了一个未知的会话密钥。远程攻击者因此可导致会话存储饱和或造成其他用户会话记录被逐出。

CVE-2015-5144

Sjoerd Job Postmus 发现一些内置验证器未正确拒绝输入值中的换行。远程攻击者因此可在电子邮件和 HTTP 响应中注入标头。

对于旧稳定发行版本 (squeeze)，已在版本 1.2.3-3+squeeze13 中修复这些问题。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。