Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-02513

Опубликовано: 01 июл. 2019
Источник: fstec
CVSS3: 5.3
CVSS2: 5
EPSS Низкий

Описание

Уязвимость компонента django.http.HttpRequest.scheme библиотеки Django для языка программирования Python связана с ошибками обработки веб-запросов HTTP (когда они определяются как запросы HTTPS). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к защищаемой информации

Вендор

Сообщество свободного программного обеспечения
Canonical Ltd.
ООО «РусБИТех-Астра»
Django Software Foundation
АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux
Ubuntu
Astra Linux Special Edition
Django
Astra Linux Special Edition для «Эльбрус»
ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)
16.04 (Ubuntu)
18.10 (Ubuntu)
1.6 «Смоленск» (Astra Linux Special Edition)
19.04 (Ubuntu)
18.04 (Ubuntu)
от 1.11 до 1.11.22 (Django)
от 2.1 до 2.1.10 (Django)
от 2.2 до 2.2.3 (Django)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Для python-django:
Обновление программного обеспечения до 1:1.10.7-2+deb9u5 или более поздней версии
Для Astra Linux:
Обновление программного обеспечения (пакета python-django) до 1:1.10.7-2+deb9u5 или более поздней версии
Для Debian:
Обновление программного обеспечения (пакета python-django) до 1:1.10.7-2+deb9u5 или более поздней версии
Для ОС ОН «Стрелец»:
Обновление программного обеспечения python-django до версии 2:2.1.15-1osnova0
Для ОС Astra Linux 1.6 «Смоленск»:
обновить пакет python-django до 1:1.10.7-2+deb9u5 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/pages/viewpage.action?pageId=57444186

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 84%
0.02419
Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVSS3: 5.3
ubuntu
почти 6 лет назад

An issue was discovered in Django 1.11 before 1.11.22, 2.1 before 2.1.10, and 2.2 before 2.2.3. An HTTP request is not redirected to HTTPS when the SECURE_PROXY_SSL_HEADER and SECURE_SSL_REDIRECT settings are used, and the proxy connects to Django via HTTPS. In other words, django.http.HttpRequest.scheme has incorrect behavior when a client uses HTTP.

CVSS3: 4.8
redhat
почти 6 лет назад

An issue was discovered in Django 1.11 before 1.11.22, 2.1 before 2.1.10, and 2.2 before 2.2.3. An HTTP request is not redirected to HTTPS when the SECURE_PROXY_SSL_HEADER and SECURE_SSL_REDIRECT settings are used, and the proxy connects to Django via HTTPS. In other words, django.http.HttpRequest.scheme has incorrect behavior when a client uses HTTP.

CVSS3: 5.3
nvd
почти 6 лет назад

An issue was discovered in Django 1.11 before 1.11.22, 2.1 before 2.1.10, and 2.2 before 2.2.3. An HTTP request is not redirected to HTTPS when the SECURE_PROXY_SSL_HEADER and SECURE_SSL_REDIRECT settings are used, and the proxy connects to Django via HTTPS. In other words, django.http.HttpRequest.scheme has incorrect behavior when a client uses HTTP.

CVSS3: 5.3
debian
почти 6 лет назад

An issue was discovered in Django 1.11 before 1.11.22, 2.1 before 2.1. ...

CVSS3: 5.3
github
почти 6 лет назад

Django Incorrect HTTP detection with reverse-proxy connecting via HTTPS

EPSS

Процентиль: 84%
0.02419
Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2