—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1
Liebe Kolleginnen und Kollegen,
soeben erreichte uns nachfolgendes Fedora Security Advisory. Wir geben
diese Informationen unveraendert an Sie weiter.
DJANGO-110909-1 – Schwachstelle in Django
Im Django Session Framework werden Sitzungen direkt im Root-Namensraum
des Caches gespeichert, falls das entsprechende Backend konfiguriert
wurde. Dies hat zur Folge, dass ein entfernter Angreifer moeglicherweise
durch praeparierte Anfragen das Caching von Daten unter einem gueltigen
Session-Key ausloesen kann und somit beliebige Daten in die Session
einfuegen kann.
DJANGO-110909-2 – Denial of Service-Schwachstelle in Django
In Django wird eine URL im Feld mit dem Typ URLField zunaechst validiert
und falls das Keyword “verify_exists” True ist, auch auf ihre
Erreichbarkeit hin ueberprueft. Da jedoch die Python-Socket-Bibliothek
keinen Timeout kennt, koennen entfernte Angreifer unter anderem mittels
einer URL, bei der hohe Antwortzeiten gegeben sind, der Server die
Verbindung ewig offen haelt und ggf. zusaetzlich zufaellige Daten
sendet, Server-Prozesse und damit Ressourcen binden, was zu einem Denial
of Service fuehren kann.
CVE-2011-1521 – Schwachstelle in Python
In den Modulen urllib und urllib2 von Python in Version 2.4 bis 2.7
besteht ein Fehler bei der Verarbeitung von automatischen
Weiterleitungen. So wird allen URLs gefolgt, welche von Python
interpretiert werden koennen, auch Weiterleitungen auf lokale Dateien
mittels des “file://”-Praefixes. Ein entfernter Angreifer kann diese
Schwachstelle ausnutzen, um mithilfe eines praeparierten Webservers
Python-Applikationen auf lokale Dateien zugreifen zu lassen.
DJANGO-110909-4 – Schwachstelle in Django
In Django werden URLs beispielsweise bei HTTP-Weiterleitungen
automatisch generiert, wobei hierbei der Wert des HTTP-Headers “Host”
von der Anfrage verwendet wird. Ein entfernter Angreifer kann dies
ausnutzen, um durch einen praeparierten “Host”-Header in der Anfrage
eine automatisch konstruierte URL mit dem gegebenen Header im Cache zu
plazieren (Cache-Poisoning).
Betroffen sind die folgenden Software Pakete und Plattformen:
Paket Django
Fedora 15
Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.
(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.
Mit freundlichen Gruessen,
Matthias Braeck
– —
Matthias Braeck (Incident Response Team)
DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-590
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski
Automatische Warnmeldungen: https://www.cert.dfn.de/autowarn
– ——————————————————————————–
Fedora Update Notification
FEDORA-2011-12493
2011-09-10 23:27:51
– ——————————————————————————–
Name : Django
Product : Fedora 15
Version : 1.3.1
Release : 2.fc15
URL : http://www.djangoproject.com/
Summary : A high-level Python Web framework
Description :
Django is a high-level Python Web framework that encourages rapid
development and a clean, pragmatic design. It focuses on automating as
much as possible and adhering to the DRY (Don’t Repeat Yourself)
principle.
– ——————————————————————————–
Update Information:
Security update to address vulnerabilities; see
https://www.djangoproject.com/weblog/2011/sep/09/security-releases-issued/
Update for version 1.3.
– ——————————————————————————–
ChangeLog:
* Sat Sep 10 2011 Michel Salim
– – Switch to the ‘html’ doc builder, for easier navigation without a web server
* Sat Sep 10 2011 Michel Salim
– – Update to 1.3.1
– – Remove workaround for non-functional -doc generation
– – Deduplicate file listing
– ——————————————————————————–
References:
[ 1 ] Bug #737239 – Django-1.3.1 is available
https://bugzilla.redhat.com/show_bug.cgi?id=737239
[ 2 ] Bug #680768 – Django-doc should be generated using “html” builder
https://bugzilla.redhat.com/show_bug.cgi?id=680768
[ 3 ] Bug #690103 – Django-1.3 is available
https://bugzilla.redhat.com/show_bug.cgi?id=690103
– ——————————————————————————–
This update can be installed with the “yum” update program. Use
su -c ‘yum update Django’ at the command line.
For more information, refer to “Managing Software with yum”,
available at http://docs.fedoraproject.org/yum/.
All packages are signed with the Fedora Project GPG key. More details on the
GPG keys used by the Fedora Project can be found at
https://fedoraproject.org/keys
– ——————————————————————————–
—–BEGIN PGP SIGNATURE—–
Version: GnuPG v2.0.16 (GNU/Linux)
iQEcBAEBAgAGBQJOdw2uAAoJEJtyb8U7iGZBNCIH/08BijHmTLEe6eYGxgrVHOKv
WyTlpKtqRC2dPLeje4U8MiqAWX/BcGpfoU8vBl9LbxbGQtpgBf7fSxvmzHKng2e6
HpfZ4641i6ZY9O701zGSmYA/DN4Bk6doT8EAdiaazX8IMZ9u/EJSur+d1ayFTii/
gqdRvYMiDImSXNMQSv/X7MaSbebKdqkmb+ywiL7iE2rGWLTJeROqS8hjInxABi/x
9RjL6nrF0GnvQrrod0OMy0SG80PBi1zcRdoGPEEn1i6o+fl7/cxBT8KpA96dAYF2
ajV5tj5ruwhAOiR6n9mntlPeroMNZbWYKC/UBaGAGJPQUcK94h0tHTm4QRJAaEo=
=s2cr
—–END PGP SIGNATURE—–
