Nuevas versiones de Django solucionan varias vulnerabilidades

La Django Software Foundation ha publicado nuevas versiones de las ramas 1.4, 1.7 y 1.8 de Django, que solucionan varias vulnerabilidades que permitirían ataques de inyección de cabeceras y de denegación de servicio.

Django es un framework de código abierto basado en Python para el desarrollo de sitios web siguiendo el patrón MVC (Modelo-Vista-Controlador). Fue publicado por primera vez en 2005, y desde entonces su uso ha experimentado un considerable crecimiento entre los desarrolladores. Se compone de una serie de herramientas para facilitar la creación de páginas Web, siguiendo las directrices 'DRY' (Do not repeat yourself – No se repita) evitando redundancias de código y consecuentemente reduciendo tiempo y esfuerzo.

La primera vulnerabilidad descubierta por Eric Peterson y Lin Hua Chengy, ha sido identificada como CVE-2015-5143. Es debida a un error en las 'session backends' por el que un atacante remoto no autenticado podría provocar una denegación de servicio a través del mero envío de múltiples peticiones repetidas con claves de sesión desconocidas.

La segunda vulnerabilidad descubierta por Sjoerd Job Postmus, ha sido identificada como CVE-2015-5144. Se debe a un error de validación de entradas al usar expresiones regulares incorrectas. Un atacante remoto podría aprovechar esta vulnerabilidad, para realizar ataques de inyección de cabeceras afectando parcialmente a la integridad del sistema a través de múltiples vectores relacionados con: nuevos caracteres, mensajes de email a 'EmailValidator', y las funciones 'validate_ipv4_address()' y 'validate_slug validator()'.

Para terminar, la última vulnerabilidad, descubierta por João Silva y Ross Brunton, ha sido identificada como CVE-2015-5145. En la cual se produce un error de validación en 'django.core.validators.URLValidator' al incluir expresiones regulares que no evalúan correctamente determinadas entradas. Un atacante remoto, podría valerse de esta vulnerabilidad para provocar una denegación de servicio (consumo excesivo de CPU) a través de vectores no especificados (posiblemente entradas especialmente manipuladas).

Django Software Foundation ha publicado las versiones 1.8.3, 1.7.9, 1.4.21 de Django que solucionan estas vulnerabilidades. Las actualizaciones están disponibles a través del repositorio PyPi o la página oficial de Django.

Más información:

Django Security releases issued

https://www.djangoproject.com/weblog/2015/jul/08/security-releases/

Juan Sánchez

jasanchez@hispasec.com