| Title | Django における DNS リバインディング攻撃を実行される脆弱性 |
|---|---|
| Summary | Django には、settings.DEBUG が True である場合、DNS リバインディング攻撃を実行される脆弱性が存在します。 |
| Possible impacts | リモートの攻撃者により、settings.ALLOWED_HOSTS に対する HTTP Host ヘッダの検証の失敗を利用されることで、DNS リバインディング攻撃を実行される可能性があります。 |
| Solution | ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | Nov. 1, 2016, midnight |
| Registration Date | Dec. 15, 2016, 5:22 p.m. |
| Last Update | Dec. 15, 2016, 5:22 p.m. |
| CVSS3.0 : 重要 | |
| Score | 8.1 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
| CVSS2.0 : 警告 | |
| Score | 6.8 |
|---|---|
| Vector | AV:N/AC:M/Au:N/C:P/I:P/A:P |
| Fedora Project |
| Fedora 24 |
| Fedora 25 |
| Canonical |
| Ubuntu 12.04 LTS |
| Ubuntu 14.04 LTS |
| Ubuntu 16.04 LTS |
| Ubuntu 16.10 |
| Django Software Foundation |
| Django 1.10.3 未満の 1.10.x |
| Django 1.8.16 未満の 1.8.x |
| Django 1.9.11 未満の 1.9.x |
| No | Changed Details | Date of change |
|---|---|---|
| 0 | [2016年12月15日] 掲載 |
Feb. 17, 2018, 10:37 a.m. |
| Summary | Django before 1.8.x before 1.8.16, 1.9.x before 1.9.11, and 1.10.x before 1.10.3, when settings.DEBUG is True, allow remote attackers to conduct DNS rebinding attacks by leveraging failure to validate the HTTP Host header against settings.ALLOWED_HOSTS. |
|---|---|
| Publication Date | Dec. 10, 2016, 5:59 a.m. |
| Registration Date | Jan. 26, 2021, 2:19 p.m. |
| Last Update | Nov. 21, 2024, noon |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:o:fedoraproject:fedora:25:*:*:*:*:*:*:* | |||||
| cpe:2.3:o:fedoraproject:fedora:24:*:*:*:*:*:*:* | |||||
| Configuration2 | or higher | or less | more than | less than | |
| cpe:2.3:o:canonical:ubuntu_linux:16.10:*:*:*:*:*:*:* | |||||
| cpe:2.3:o:canonical:ubuntu_linux:12.04:*:*:*:lts:*:*:* | |||||
| cpe:2.3:o:canonical:ubuntu_linux:16.04:*:*:*:lts:*:*:* | |||||
| cpe:2.3:o:canonical:ubuntu_linux:14.04:*:*:*:lts:*:*:* | |||||
| Configuration3 | or higher | or less | more than | less than | |
| cpe:2.3:a:djangoproject:django:1.8.15:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.8.2:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.8.14:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.8.1:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.8.7:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.8.9:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.8.11:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.8.3:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.8.12:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.8.4:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.8.6:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.8:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.8.13:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.8.8:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.8.5:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.8.10:*:*:*:*:*:*:* | |||||
| Configuration4 | or higher | or less | more than | less than | |
| cpe:2.3:a:djangoproject:django:1.10:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.10.1:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.10.2:*:*:*:*:*:*:* | |||||
| Configuration5 | or higher | or less | more than | less than | |
| cpe:2.3:a:djangoproject:django:1.9.6:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.9.9:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.9.5:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.9.3:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.9.4:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.9.7:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.9.1:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.9:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.9.8:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.9.2:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:djangoproject:django:1.9.10:*:*:*:*:*:*:* | |||||