Django ist anfällig für das Öffnen von Weiterleitungen in CommonMiddleware Paving Way für Phishing-Angriffe

Django

Die Entwickler des Django-Projekts haben zwei neue Versionen des Python-Webframeworks veröffentlicht: Django 1.11.15 und Django 2.0.8, nachdem Andreas Hug eine Sicherheitsanfälligkeit bezüglich offener Umleitung in CommonMiddleware gemeldet hat. Der Sicherheitsanfälligkeit wurde das Etikett zugewiesen CVE-2018-14574 und die veröffentlichten Updates beheben erfolgreich die Sicherheitsanfälligkeit in älteren Versionen von Django.

Django ist ein kompliziertes OpenSource-Python-Webframework, das für Anwendungsentwickler entwickelt wurde. Es wurde speziell für die Bedürfnisse von Webentwicklern entwickelt, die alle grundlegenden Frameworks bereitstellen, damit sie die Grundlagen nicht neu schreiben müssen. Dadurch können sich Entwickler ausschließlich auf die Entwicklung des Codes ihrer eigenen Anwendung konzentrieren. Das Framework ist kostenlos und offen. Es ist auch flexibel, um auf individuelle Bedürfnisse einzugehen, und enthält feste Sicherheitsdefinitionen und -korrekturen, um Entwicklern dabei zu helfen, Sicherheitslücken in ihren Programmen zu vermeiden.

Wie von Hug berichtet, wird die Sicherheitsanfälligkeit ausgenutzt, wenn die Einstellungen 'django.middleware.common.CommonMiddleware' und 'APPEND_SLASH' gleichzeitig ausgeführt werden. Da die meisten Content-Management-Systeme einem Muster folgen, bei dem sie jedes URL-Skript akzeptieren, das mit einem Schrägstrich endet, kann beim Zugriff auf eine solche schädliche URL (die auch mit einem Schrägstrich endet) eine Weiterleitung von der aufgerufenen Site zu einer anderen bösartigen Site erfolgen über die ein entfernter Angreifer Phishing- und Betrugsangriffe auf den ahnungslosen Benutzer ausführen kann.

Diese Sicherheitsanfälligkeit betrifft den Django-Hauptzweig, Django 2.1, Django 2.0 und Django 1.11. Da Django 1.10 und älter nicht mehr unterstützt werden, haben die Entwickler kein Update für diese Versionen veröffentlicht. Für Benutzer, die noch solche alten Versionen verwenden, werden allgemeine Upgrades empfohlen. Die soeben veröffentlichten Updates beheben die Sicherheitsanfälligkeit in Django 2.0 und Django 1.11. Ein Update für Django 2.1 steht noch aus.

Patches für die 1.11 , 2.0 , 2.1 , und Meister Release-Filialen wurden zusätzlich zu den gesamten Releases in herausgegeben Django Version 1.11.15 ( herunterladen | Prüfsummen ) und Django Version 2.0.8 ( herunterladen | Prüfsummen ). Benutzern wird empfohlen, entweder ihre Systeme zu patchen, ihre Systeme auf die jeweiligen Versionen zu aktualisieren oder ein vollständiges System-Upgrade auf die neuesten Sicherheitsdefinitionen durchzuführen. Diese Updates sind auch über die erhältlich beratend veröffentlicht auf der Website des Django-Projekts.