Avis du CERT-FR
Objet : Vulnérabilités dans Django
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Déni de service à distance
Systèmes affectés
- Django versions 1.1.x inférieures à 1.1.3 ;
- Django versions 1.2.x inférieures à 1.2.4.
Résumé
Deux vulnérabilités, l'une permettant un déni de service et l'autre d'obtenir des informations confidentielles, ont été corrigées dans Django.
Description
Une mise à jour de Django corrige deux vulnérabilités. La première permet à une personne malveillante connaissant bien le modèle utilisé par l'application, d'obtenir des informations confidentielles. La seconde permet à un attaquant d'épuiser les ressources du serveur en lui envoyant des requêtes de changement de mots de passe spécialement conçues.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Django du 22 décembre 2010
http://www.djangoproject.com/weblog/2010/dec/22/security -
Bulletin de sécurité Ubuntu USN-1040-1 du 07 janvier 2011 :
http://www.ubuntulinux.org/usn/usn-1040-1 -
Référence CVE CVE-2010-4534
https://www.cve.org/CVERecord?id=CVE-2010-4534 -
Référence CVE CVE-2010-4535
https://www.cve.org/CVERecord?id=CVE-2010-4535
Gestion détaillée du document
| Date | Description |
|---|---|
| 28 décembre 2010 | version initiale. |
| 11 janvier 2011 | ajout des références au bulletin Ubuntu et aux CVE. |