Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 3 (06.11.2015):
Für die Distribution Fedora 23 steht ein neues Sicherheitsupdate auf die
Python-Django Version 1.8.6 bereit, nachdem das zuvor veröffentlichte
Update auf die Version 1.8.5 in den Status ‘obsolete’ überführt wurde
Version 2 (03.11.2015):
Für die Distribution Fedora 23 steht ein Sicherheitsupdate auf die
Python-Django Version 1.8.5 bereit, welches zusätzlich die
Denial-of-Service-Schwachstelle CVE-2015-5964 adressiert.
Version 1 (26.10.2015):
Neues Advisory
Betroffene Software:
Django
Betroffene Plattformen:
SUSE OpenStack Cloud Compute 5
SUSE Enterprise Storage 1.0
Red Hat Fedora 23
Mehrere Schwachstellen in Python-Django ermöglichen einem entfernten, nicht
authentifizierten Angreifer Denial-of-Service-Zustände herbeizuführen oder
Header z.B. in HTTP- oder Mail-Daten einzuschleusen.
Für die Distributionen SUSE OpenStack Cloud 5 und SUSE Enterprise Storage
1.0 werden Backport-Sicherheitsupdates zur Verfügung gestellt.
Patch:
SUSE Security Update SUSE-SU-2015:1810-1
https://www.suse.com/support/update/announcement/2015/suse-su-20151810-1.html
Patch:
SUSE Security Update SUSE-SU-2015:1815-1
https://www.suse.com/support/update/announcement/2015/suse-su-20151815-1.html
Patch:
Fedora Security Update FEDORA-2015-1dd5bc998f (Fedora 23)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-1dd5bc998f
CVE-2015-5964: Schwachstelle in Django ermöglicht Denial-of-Service-Angriff
Ein Schwachstelle in der Speicherverwaltung des Session-Stores im
Web-Framework Django 1.7.x bevor 1.7.10, 1.4.x bevor 1.4.22 und
möglicherweise weiteren Versionen ermöglicht es einem Angreifer während
eines ‘Logouts’ den Session-Speicher aufzubrauchen, wodurch der Dienst in
einem Denial-of-Service endet. Ein entfernter, einfach authentifizierter
Angreifer kann einen Denial-of-Service-Angriff durchführen.
CVE-2015-5963: Schwachstelle in Django ermöglicht Denial-of-Service-Angriff
Ein Schwachstelle in der Speicherverwaltung des Session-Stores im
Web-Framework Django 1.8.x bevor 1.8.4, 1.7.x bevor 1.7.10 und 1.4.x bevor
1.4.22 ermöglicht es einem Angreifer während eines ‘Logouts’ den
Session-Speicher aufzubrauchen, wodurch der Dienst in einem
Denial-of-Service endet. Ein entfernter, nicht authentifizierter Angreifer
kann einen Denial-of-Service-Angriff durchführen.
CVE-2015-5144: Schwachstelle in Django ermöglicht einen
Header-Injection-Angriff
Einige Korrektheitsprüfungen von Django (z.B.
django.core.validators.EmailValidator) verbieten den Einsatz von
Zeilenumbrüchen aufgrund der Benutzung von ‘$’ anstelle von ‘\Z’ in
regulären Ausdrücken nicht. Ein entfernter, nicht authentifizierter
Angreifer kann diese Schwachstelle ausnutzen, um Header z.B. in HTTP- oder
Mail-Nachrichten einzuschleusen.
CVE-2015-5143: Schwachstelle in Django ermöglicht einen
Denial-of-Service-Angriff
Das Sitzungs-Backend erstellt neue leere Sitzungseinträge im
Sitzungsspeicher jedes mal dann, wenn auf request.session zugegriffen wird
und der Sitzungsschlüssel in den Anfrage-Cookies zu keinem Sitzungseintrag
gehört. Ein entfernter, nicht authentifizierter Angreifer kann diese
Schwachstelle ausnutzen, indem er viele neue Sitzungseinträge durch das
wiederholte Senden von Anfragen mit unbekannten Sitzungsschlüsseln erzeugt,
um den Sitzungsspeicher zu fluten oder Sitzungseinträge anderer Benutzer zu
sabotieren (Denial-of-Service).
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1652/
Schwachstelle CVE-2015-5143 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5143
Schwachstelle CVE-2015-5144 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5144
Schwachstelle CVE-2015-5963 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5963
Schwachstelle CVE-2015-5964 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5964
SUSE Security Update SUSE-SU-2015:1810-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20151810-1.html
SUSE Security Update SUSE-SU-2015:1815-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20151815-1.html
Fedora Security Update FEDORA-2015-1dd5bc998f (Fedora 23):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-1dd5bc998f
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
