—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1
Liebe Kolleginnen und Kollegen,
soeben erreichte uns nachfolgendes Advisory von Mandriva Security. Wir
geben diese Informationen unveraendert an Sie weiter.
CVE-2011-0696 – Schwachstelle in python-django
Im Web-Framework python-django wurde eine Schwachstelle entdeckt, die es
ermoeglicht den CSRF-Schutz (Cross-Site-Request-Forgery) zu umgehen. In
Kombination mit Browser-Plugins und HTTP-Redirects kann ein entfernter
Angreifer eigene HTTP-Header in einen Request an eine Webseite
einschleusen. Dies ermoeglicht es, gefaelschte Requests als einen
AJAX-Request erscheinen zu lassen, wodurch der CSRF-Schutz umgangen
wird, der AJAX-Requests, die von der gleichen Quelle gesendet wurden,
vertraut.
CVE-2011-0698 – Schwachstelle in python-django
Im Web-Framework python-django in den Versionen 1.1.x vor 1.1.4 sowie
1.2.x vor 1.2.5 unter Windows gibt es eine Directory Traversal
Schwachstelle dadurch, dass im Session Cookie ein manipulierter Key
verwendet werden kann, in welchem statt des umgekehrten Schraegstrichs
(‘\’) ein einfacher Schraegstrich (‘/’) verwendet wird. Dies ermoeglicht
unter Umstaenden einem Angreifer, Dateien zu lesen oder auszufuehren.
CVE-2011-0697 – Schwachstelle in python-django
Im Web-Framework python-django sind Formulare und Widgets, zum Upload
von Dateien, anfaellig fuer eine Cross-Site Scripting mittels des
Dateinamens. Dies ermoeglicht einem einem entfernten Angreifer, HTML und
Skript-Code im Kontext des Browsers des Users auszufuehren, falls dieser
dazu gebracht wird, eine vom Angreifer praeparierte Webseite zu
besuchen.
Betroffen sind die folgenden Software Pakete und Plattformen:
Paket python-django
Mandriva Linux 2010.0
Mandriva Linux 2010.0/X86_64
Mandriva Linux 2010.1
Mandriva Linux 2010.1/X86_64
Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.
(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.
Mit freundlichen Gruessen,
Theodor Nolte
– —
Theodor Nolte, B.Sc. (Incident Response Team)
DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-590
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski
Automatische Warnmeldungen: https://www.cert.dfn.de/autowarn
– —–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1
_______________________________________________________________________
Mandriva Linux Security Advisory MDVSA-2011:031
http://www.mandriva.com/security/
_______________________________________________________________________
Package : python-django
Date : February 18, 2011
Affected: 2010.0, 2010.1
_______________________________________________________________________
Problem Description:
Multiple vulnerabilities has been found and corrected in python-django:
Django 1.1.x before 1.1.4 and 1.2.x before 1.2.5 does not properly
validate HTTP requests that contain an X-Requested-With header,
which makes it easier for remote attackers to conduct cross-site
request forgery (CSRF) attacks via forged AJAX requests that leverage
a combination of browser plugins and redirects, a related issue to
CVE-2011-0447 (CVE-2011-0696).
Cross-site scripting (XSS) vulnerability in Django 1.1.x before
1.1.4 and 1.2.x before 1.2.5 might allow remote attackers to inject
arbitrary web script or HTML via a filename associated with a file
upload (CVE-2011-0697).
Directory traversal vulnerability in Django 1.1.x before 1.1.4 and
1.2.x before 1.2.5 on Windows might allow remote attackers to read or
execute files via a / (slash) character in a key in a session cookie,
related to session replays (CVE-2011-0698).
The updated packages have been upgraded to the 1.1.4 version which
is not vulnerable to these issues.
_______________________________________________________________________
References:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0696
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0697
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0698
_______________________________________________________________________
Updated Packages:
Mandriva Linux 2010.0:
202f769807a186f2d9197c9eda30faa6 2010.0/i586/python-django-1.1.4-0.1mdv2010.0.noarch.rpm
ba04206d09a47c76d3e5b0e60dbad79f 2010.0/SRPMS/python-django-1.1.4-0.1mdv2010.0.src.rpm
Mandriva Linux 2010.0/X86_64:
33eb96488eced9ae1d573bb6f2706058 2010.0/x86_64/python-django-1.1.4-0.1mdv2010.0.noarch.rpm
ba04206d09a47c76d3e5b0e60dbad79f 2010.0/SRPMS/python-django-1.1.4-0.1mdv2010.0.src.rpm
Mandriva Linux 2010.1:
3cfc441c4f75142c19416c6f6d22eb2d 2010.1/i586/python-django-1.1.4-0.1mdv2010.2.noarch.rpm
4f628f112373a36feebb403daec0e646 2010.1/SRPMS/python-django-1.1.4-0.1mdv2010.2.src.rpm
Mandriva Linux 2010.1/X86_64:
50a8a8aad7dd3001bee2560f8df1b156 2010.1/x86_64/python-django-1.1.4-0.1mdv2010.2.noarch.rpm
4f628f112373a36feebb403daec0e646 2010.1/SRPMS/python-django-1.1.4-0.1mdv2010.2.src.rpm
_______________________________________________________________________
To upgrade automatically use MandrivaUpdate or urpmi. The verification
of md5 checksums and GPG signatures is performed automatically for you.
All packages are signed by Mandriva for security. You can obtain the
GPG public key of the Mandriva Security Team by executing:
gpg –recv-keys –keyserver pgp.mit.edu 0x22458A98
You can view other update advisories for Mandriva Linux at:
http://www.mandriva.com/security/advisories
If you want to report vulnerabilities, please contact
security_(at)_mandriva.com
_______________________________________________________________________
Type Bits/KeyID Date User ID
pub 1024D/22458A98 2000-07-10 Mandriva Security Team
– —–BEGIN PGP SIGNATURE—–
Version: GnuPG v1.4.9 (GNU/Linux)
iD8DBQFNXsGvmqjQ0CJFipgRAggbAKC6jBSLeNUZCFYKefNU6S5mo4G+QgCeLdLo
ksEbjuDpyvINyjhBj/kj17s=
=QCYL
– —–END PGP SIGNATURE—–
—–BEGIN PGP SIGNATURE—–
Version: GnuPG v2.0.9 (GNU/Linux)
iQEcBAEBAgAGBQJNYnRqAAoJEJtyb8U7iGZB5dsH/iRA9ACefeAN1UWjWAHzSHWt
X6rkrS0hbG3go1Sm6MY/gOSpVl9g6eFWV17sa1CTP2ADaIgrXN6DVGX0jsSZZEaD
B4PSKSViRsthAA7HiMlwpfTTcN3EI0EjPH5rfUY7DJJhaXeXwJMYeyZZdu+HWOw6
Oky6ojRyoHaIwcF1YjdzAcmc1LoFC0YRgDIGmYt8EbDqfpojl6WY6KaISEDK5j2x
d8gcSbcMz0FGpnJZh4ioGQrpMOptIH2Zmp1lAlXh0aytHh4NvUkLnTM3/9NQxd9S
CDu4GE0kqI/dYE3OlPpkXA/QRiiSs498SB0iyhatcsYMwpknzFE4xziGCEPax/w=
=oEry
—–END PGP SIGNATURE—–
