Inicio / Alerta Temprana / Avisos Seguridad / Denegación de servicio e inyección http en Django

Denegación de servicio e inyección http en Django

Fecha de publicación: 
09/07/2015
Importancia: 
3 - Media
Recursos afectados: 
  • Rama Django master development
  • Django 1.8
  • Django 1.7 (excepto el problema DoS)
  • Django 1.4 (excepto el problema DoS)
Descripción: 

Se han identificado y corregidos fallos en la gestión de sesiones y en la validación de cabeceras http, que pueden provocar denegación de servicio e inyección de código en cabeceras http.

Solución: 

Django ha publicado los siguientes parches:

  • Rama de desarrollo (master development branch)
  • Ramas 1.4, 1.7 y 1.8.

Asimismo se han lanzado las versiones:

  • Django 1.8.3
  • Django 1.7.9
  • Django 1.4.21

Los enlaces a los parches y versiones pueden consultarse en el enlace especificado en la sección "Referencias".

Detalle: 

Las vulnerabilidades identificadas son:

  • Denegación de servicio: Una incorrecta gestión de los registros de sesión "request.session" posibilita a un atacante producir una denegación de servicio al solicitar múltiples sesiones con clave de sesión desconocida.
  • Inyección de cabeceras HTTP: Los validadores "django.core.validators.EmailValidator" ,"django.core.validators.validate_ipv4_address(), django.core.validators.validate_slug(), y django.core.validators.URLValidator permiten la inclusión de caracteres de nueva línea lo que posibilita la inyección de cabeceras HTTP.