Дјанго рањив на отворене преусмеравања у ЦоммонМиддлеваре асфалтирању за пхисхинг нападе

Дјанго

Програмери иза пројекта Дјанго објавили су две нове верзије Питхон Веб фрамеворк-а: Дјанго 1.11.15 и Дјанго 2.0.8 након извештаја Андреаса Хуга о отвореној преусмеравајућој рањивости у ЦоммонМиддлеваре-у. Ознака је додељена рањивости ЦВЕ-2018-14574 а објављене исправке успешно решавају рањивост присутну у старијим верзијама Дјанго-а.

Дјанго је сложени Питхон Веб фрамеворк отвореног извора који је дизајниран за програмере апликација. Изграђен је посебно да задовољи потребе веб програмера који пружају све основне оквире тако да им није потребно да преписују основе. То омогућава програмерима да се фокусирају само на развој кода сопствене апликације. Оквир је бесплатан и отворен за употребу. Такође је флексибилан да удовољи индивидуалним потребама и укључује чврсте сигурносне дефиниције и исправке како би програмерима помогао да се у својим програмима избегну сигурносне недостатке.

Како је известио Хуг, рањивост се користи када се истовремено покрену и покрену поставке „дјанго.миддлеваре.цоммон.ЦоммонМиддлеваре“ и „АППЕНД_СЛАСХ“. Како већина система за управљање садржајем следи образац у којем прихвата било коју скрипту УРЛ-а која се завршава косом цртом, када се приступи таквој злонамерној УРЛ-у (која се такође завршава косом цртом), могло би доћи до преусмеравања са приступљене веб локације на другу злонамерну веб локацију преко којег би удаљени нападач могао извршити нападе крађом идентитета и преваром на несумњивог корисника.

Ова рањивост утиче на главну грану Дјанго, Дјанго 2.1, Дјанго 2.0 и Дјанго 1.11. Како Дјанго 1.10 и старији више нису подржани, програмери нису објавили ажурирање за те верзије. Корисницима који још увек користе такве старе верзије препоручују се опште корисне надоградње. Управо објављена ажурирања решавају рањивост у Дјанго 2.0 и Дјанго 1.11, док је ажурирање за Дјанго 2.1 још увек на чекању.

Закрпе за 1.11 , 2.0 , 2.1 , и господару издања издања су издата поред целих издања у Дјанго верзија 1.11.15 ( преузимање |. | контролне суме ) и Дјанго верзија 2.0.8 ( преузимање |. | контролне суме ). Корисницима се саветује да закрпе своје системе, надограде своје системе на одговарајуће верзије или изврше целу надоградњу система на најновије безбедносне дефиниције. Ова ажурирања су такође доступна путем саветодавни објављено на веб локацији пројекта Дјанго.