Avis du CERT-FR
Objet : Multiples vulnérabilités dans Django
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
- Injection de code indirecte à distance
Systèmes affectés
- Django 1.1.x versions inférieures à 1.1.4.
- Django 1.2.x versions inférieures à 1.2.5 ;
Résumé
Plusieurs vulnérabilités ont été corrigées dans Django. Celles-ci permettent de contourner la politique de sécurité, de réaliser une injection de code indirecte à distance et porter atteinte à la confidentialité des données.
Description
La première vulnérabilité corrigée permet de contourner la protection anti-injection de requêtes illégitimes par rebond. Une faille dans la gestion des noms de fichiers téléchargés vers le serveur permet à une personne malveillante de réaliser une injection de code indirecte à distance. Enfin, sur les systèmes Windows un attaquant capable de rejouer des connexions au serveur ou de contourner les mécanismes d'authentification peut afficher des fichiers arbitraires, à cause d'un problème dans l'utilisation des caractères de séparation du système de fichiers.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Django du 8 février 2011
http://www.djangoproject.com/weblog/2011/feb/08/security/ -
Bulletin de sécurité Debian DSA-2163-1 du 14 février 2011 :
http://www.debian.org/security/2011/dsa-2163 -
Référence CVE CVE-2011-0696
https://www.cve.org/CVERecord?id=CVE-2011-0696 -
Référence CVE CVE-2011-0697
https://www.cve.org/CVERecord?id=CVE-2011-0697 -
Référence CVE CVE-2011-0698
https://www.cve.org/CVERecord?id=CVE-2011-0698
Gestion détaillée du document
| Date | Description |
|---|---|
| 14 février 2011 | version initiale. |
| 16 février 2011 | ajout de la référence au bulletin Debian et des références CVE. |