Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Django
Betroffene Plattformen:
Canonical Ubuntu Linux 10.04 Lts
Canonical Ubuntu Linux 12.04 Lts
Canonical Ubuntu Linux 14.04 Lts
Canonical Ubuntu Linux 14.10
Mehrere Schwachstellen in Python-Django ermöglichen einem entfernten, nicht
authentifizierten Angreifer das Umgehen von Sicherheitsvorkehrungen und die
Durchführung von Cross-Site-Scripting- oder Denial-of-Service-Angriffen. Die
Schwachstellen sind durch Backports für Ubuntu 14.10, Ubuntu 14.04 LTS,
Ubuntu 12.04 LTS und Ubuntu 10.04 LTS geschlossen worden. Die Schwachstelle
CVE-2015-0222 betrifft nur die Distributionen Ubuntu 14.04 LTS und Ubuntu
14.10.
Patch:
Ubuntu Security Notice USN-2469-1
http://www.ubuntu.com/usn/usn-2469-1/
CVE-2015-0222: Schwachstelle in ModelMultipleChoiceField ermöglicht
Denial-of-Service-Angriff
Eine Schwachstelle bei der Behandlung von Eingabemasken, die das Feld
ModelMultipleChoiceField und die Option “show_hidden_initial=True”
verwenden, führt dazu, dass eine unzumutbar große Anzahl von SQL-Anfragen
erzeugt wird. Ein entfernter, nicht authentifizierter Angreifer kann einen
Denial-of-Service-Angriff durchführen.
CVE-2015-0221: Schwachstelle in der Funktion django.views.static.serve
ermöglicht Denial-of-Service-Angriff
In älteren Versionen liest die Funktion django.views.static.serve() Dateien,
die angezeigt werden, zeilenweise ein, wodurch die Speicherplatzbelegung mit
der Größe der Zeile ansteigt. Ein entfernter, nicht authentifizierter
Angreifer kann durch mehrere Anfragen nach sehr großen Dateien einen
Denial-of-Service-Angriff durchführen.
CVE-2015-0220: Schwachstelle in der Funktion django.util.http.is_safe_url
ermöglicht Cross-Site-Scripting-Angriff
Eine Schwachstelle bei der Behandlung von benutzerdefinierten
Weiterleitungs-URLs (redirect URLs) in der Funktion
django.util.http.is_safe_url() führt dazu, dass führende Leerzeichen nicht
entfernt werden und eine URL, die mit “\njavascript:” beginnt, als sicher
angesehen wird. Ein entfernter, nicht authentifizierter Angreifer kann einen
Cross-Site-Scripting-Angriff durchführen.
CVE-2015-0219: Schwachstelle in WSGI-Umgebung ermöglicht das Umgehen von
Sicherheitsmaßnahmen
Eine Schwachstelle in der Normalisierung von HTTP-Kopfzeilen führt dazu,
dass es nicht möglich ist, einen Bindestrich von einem Unterstrich zu
unterscheiden. Sowohl X-Auth-User wie auch X-Auth_User werden in
HTTP_X_AUTH_USER umgewandelt. Filter die X-Auth-User aus einer HTTP-Anfrage
herausfiltern werden somit umgangen. Ein entfernter, nicht authentifizierter
Angreifer kann Sicherheitsmaßnahmen umgehen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0041/
Ubuntu Security Notice USN-2469-1:
http://www.ubuntu.com/usn/usn-2469-1/
Django Sicherheitshinweise :
https://www.djangoproject.com/weblog/2015/jan/13/security/
Schwachstelle CVE-2015-0219 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0219
Schwachstelle CVE-2015-0220 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0220
Schwachstelle CVE-2015-0221 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0221
Schwachstelle CVE-2015-0222 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0222
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
