DFN-CERT-2012-1012 Mehrere Schwachstellen im Django Webframework [Linux][SuSE]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket python-django

Betroffene Plattformen:

openSUSE 11.4

Mehrere Schwachstellen im Django Webframework erlauben einem Angreifer,
Daten einer betroffenen Django-Installation auszulesen bzw. zu manipulieren
oder schlimmstenfalls die Session eines anderen Benutzers zu übernehmen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://download.opensuse.org/update/

CVE-2011-4139: Schwachstelle bei der Cache Verwaltung für URLs in Django

Django verwendet für die Erstellung vollständiger URLs das X-Forwarded-Host
Header-Feld im HTTP-Header. Ein Angreifer dieses Headerfeld manipulieren und
auf diese Weise Cache Poisoning betreiben.

CVE-2011-4137, CVE-2011-4138: Schwachstelle in Django

Django enthält eine Schwachstelle bei der Verarbeitung des
URLField-Datentyps. Wird eine durch einen Benutzer übergebene URL in ein
URLField Objekt gekapselt, so wird eine Anfrage an die übergebene URL
gerichtet. Dabei gibt es keine Timeouts für die Anfrage und es ist auch
keine Größenbeschränkung für die Antwort der Anfrage vorgesehen. Dies
erlaubt einem Angreifer, die Anwendung durch eine absichtlich offen
gehaltene Anfrage zu blockieren oder eine Verknappung des zur Verfügung
stehenden Hauptspeichers auszulösen (Denial of Service).

CVE-2011-4136: Schwachstelle bei der Cacheverwaltung in Django

Django enthält eine Schwachstelle beim Caching von sogenannten Memory-Based
Sessions. Wird eine Django Session direkt in den Root-Namespace des Cache
geschrieben und gleichzeitig auch Benutzerdaten in diesem Cache gespeichert,
so kann dies einem entfernten Angreifer ermöglichen Zugriff auf
Session-Informationen zu erhalten, und so die Session eines anderen
Benutzers zu übernehmen.

CVE-2011-4140: Schwachstelle in Django

Der in Django enthaltene Cross-Site-Request-Forgery (CSRF) Schutz enthält
eine Schwachstelle bei der Unterstützung von Webserver-Konfigurationen, die
beliebige HTTP-Host-Header unterstützen. Dies ermöglicht einem entfernten
Angreifer den Schutz auszuhebeln und CSRF-Angriffe gegen andere Systeme
durchzuführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-1012/

Das Hersteller Advisory:
http://lists.opensuse.org/opensuse-security-announce/

Schwachstelle CVE-2011-4136:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4136

Schwachstelle CVE-2011-4137:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4137

Schwachstelle CVE-2011-4138:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4138

Schwachstelle CVE-2011-4139:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4139

Schwachstelle CVE-2011-4140:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4140