Django sérülékeny az átirányítások megnyitásában a CommonMiddleware útvonalán az adathalász támadásokhoz

Django

A Django Project fejlesztői a Python Web keretrendszer két új verzióját tették közzé: a Django 1.11.15 és a Django 2.0.8 programokat Andreas Hug jelentését követően, a CommonMiddleware nyílt átirányítási sebezhetőségéről. A sebezhetőséget kiosztották a címkének CVE-2018-14574 és a kiadott frissítések sikeresen megoldják a Django régebbi verzióiban meglévő sérülékenységet.

A Django egy bonyolult nyílt forráskódú Python webkeret, amelyet alkalmazásfejlesztőknek terveztek. Kifejezetten a webfejlesztők igényeinek kielégítésére épül, amelyek minden alapvető keretet biztosítanak, hogy ne kelljen átírniuk az alapokat. Ez lehetővé teszi a fejlesztők számára, hogy kizárólag a saját alkalmazásuk kódjának fejlesztésére összpontosítsanak. A keretrendszer ingyenes és használható. Rugalmas az egyéni igények kielégítése, és határozott biztonsági definíciókat és javításokat tartalmaz, amelyek segítenek a fejlesztőknek abban, hogy programjaikban elkerüljék a biztonsági hibákat.

Mint Hug beszámolt róla, a biztonsági rést akkor használják ki, amikor a „django.middleware.common.CommonMiddleware” és az „APPEND_SLASH” beállítások egyszerre futnak és futnak. Mivel a legtöbb tartalomkezelő rendszer olyan mintát követ, amelyben minden perjelsel végződő URL-parancsfájlt elfogad, az ilyen rosszindulatú URL elérésekor (amelyek szintén perjelzel végződnek) átirányítást jelenthet a megnyitott webhelyről egy másik rosszindulatú webhelyre amelyen keresztül egy távoli támadó adathalász és átverési támadásokat hajthat végre a gyanútlan felhasználóval szemben.

Ez a biztonsági rés kihat a Django master ágra, a Django 2.1-re, a Django 2.0-ra és a Django 1.11-re. Mivel a Django 1.10 és régebbi verziókat már nem támogatjuk, a fejlesztők nem tettek közzé frissítést ezekhez a verziókhoz. Általános, egészséges frissítések ajánlottak azoknak a felhasználóknak, akik továbbra is ilyen régi verziókat használnak. A most kiadott frissítések megoldják a Django 2.0 és a Django 1.11 biztonsági rését, a Django 2.1 frissítése még várat magára.

Javítások a 1.11 , 2.0 , 2.1 , és fő- kibocsátási ágak kerültek kiadásra a teljes 2008 - as kiadás mellett Django 1.11.15 verzió ( Letöltés | ellenőrző összegek ) és Django 2.0.8 verzió ( Letöltés | ellenőrző összegek ). A felhasználóknak javasoljuk, hogy vagy javítsák ki rendszereiket, frissítsék rendszereiket a megfelelő verziókra, vagy teljes rendszerfrissítést végezzenek a legújabb biztonsági meghatározások szerint. Ezek a frissítések a tanácsadó megjelent a Django Project weboldalán.