NVD脆弱性詳細

CVE-2015-2317

概要	The utils.http.is_safe_url function in Django before 1.4.20, 1.5.x, 1.6.x before 1.6.11, 1.7.x before 1.7.7, and 1.8.x before 1.8c1 does not properly validate URLs, which allows remote attackers to conduct cross-site scripting (XSS) attacks via a control character in a URL, as demonstrated by a \x08javascript: URL.
公表日	2015年3月25日23:59
登録日	2021年1月26日14:47
最終更新日	2024年11月21日11:27

CVSS2.0 : MEDIUM
スコア	4.3
ベクター	AV:N/AC:M/Au:N/C:N/I:P/A:N
攻撃元区分(AV)	ネットワーク
攻撃条件の複雑さ(AC)	中
攻撃前の認証要否(Au)	不要
機密性への影響(C)	なし
完全性への影響(I)	低
可用性への影響(A)	なし
全ての特権を取得	いいえ
ユーザー権限を取得	いいえ
その他の権限を取得	いいえ
ユーザー操作が必要	はい

影響を受けるソフトウェアの構成

構成1	以上	以下	より上	未満
cpe:2.3:o:fedoraproject:fedora:22:::::::*
cpe:2.3:o:debian:debian_linux:7.0:::::::*
cpe:2.3:o:opensuse:opensuse:13.2:::::::*

構成2	以上	以下	より上	未満
cpe:2.3:a:djangoproject:django:1.7.5:::::::*
cpe:2.3:a:djangoproject:django:1.5:::::::*
cpe:2.3:a:djangoproject:django:1.5.7:::::::*
cpe:2.3:a:djangoproject:django:1.5.1:::::::*
cpe:2.3:a:djangoproject:django:1.7.3:::::::*
cpe:2.3:a:djangoproject:django:1.6:beta4::::::
cpe:2.3:a:djangoproject:django::::::::		1.4.19
cpe:2.3:a:djangoproject:django:1.6.7:::::::*
cpe:2.3:a:djangoproject:django:1.7:rc2::::::
cpe:2.3:a:djangoproject:django:1.7:beta1::::::
cpe:2.3:a:djangoproject:django:1.6.5:::::::*
cpe:2.3:a:djangoproject:django:1.6:beta2::::::
cpe:2.3:a:djangoproject:django:1.5.3:::::::*
cpe:2.3:a:djangoproject:django:1.7:beta3::::::
cpe:2.3:a:djangoproject:django:1.5.4:::::::*
cpe:2.3:a:djangoproject:django:1.5.12:::::::*
cpe:2.3:a:djangoproject:django:1.6.8:::::::*
cpe:2.3:a:djangoproject:django:1.5.10:::::::*
cpe:2.3:a:djangoproject:django:1.5:beta::::::
cpe:2.3:a:djangoproject:django:1.6.6:::::::*
cpe:2.3:a:djangoproject:django:1.5.5:::::::*
cpe:2.3:a:djangoproject:django:1.7.2:::::::*
cpe:2.3:a:djangoproject:django:1.7.4:::::::*
cpe:2.3:a:djangoproject:django:1.6.10:::::::*
cpe:2.3:a:djangoproject:django:1.6.3:::::::*
cpe:2.3:a:djangoproject:django:1.7.6:::::::*
cpe:2.3:a:djangoproject:django:1.8.0:::::::*
cpe:2.3:a:djangoproject:django:1.7:rc3::::::
cpe:2.3:a:djangoproject:django:1.5.8:::::::*
cpe:2.3:a:djangoproject:django:1.6.4:::::::*
cpe:2.3:a:djangoproject:django:1.6:-::::::
cpe:2.3:a:djangoproject:django:1.5.9:::::::*
cpe:2.3:a:djangoproject:django:1.6.1:::::::*
cpe:2.3:a:djangoproject:django:1.6.2:::::::*
cpe:2.3:a:djangoproject:django:1.6:beta1::::::
cpe:2.3:a:djangoproject:django:1.6:beta3::::::
cpe:2.3:a:djangoproject:django:1.7:rc1::::::
cpe:2.3:a:djangoproject:django:1.6.9:::::::*
cpe:2.3:a:djangoproject:django:1.7.1:::::::*
cpe:2.3:a:djangoproject:django:1.7:beta2::::::
cpe:2.3:a:djangoproject:django:1.5.2:::::::*
cpe:2.3:a:djangoproject:django:1.5:alpha::::::
cpe:2.3:a:djangoproject:django:1.5.6:::::::*
cpe:2.3:a:djangoproject:django:1.5.11:::::::*
cpe:2.3:a:djangoproject:django:1.7:beta4::::::

構成3		以上	以下	より上	未満
cpe:2.3:o:oracle:solaris:11.2:::::::*

構成4	以上	以下	より上	未満
cpe:2.3:o:canonical:ubuntu_linux:12.04::::lts:::
cpe:2.3:o:canonical:ubuntu_linux:14.10:::::::*
cpe:2.3:o:canonical:ubuntu_linux:14.04::::lts:::
cpe:2.3:o:canonical:ubuntu_linux:10.04::::lts:::

関連情報、対策とツール

No	URL	タグ
1	http://lists.fedoraproject.org/pipermail/package-announce/2015-April/155421.html	Third Party Advisory
2	http://lists.fedoraproject.org/pipermail/package-announce/2015-April/155421.html	Third Party Advisory
3	http://lists.fedoraproject.org/pipermail/package-announce/2015-June/160263.html
4	http://lists.fedoraproject.org/pipermail/package-announce/2015-June/160263.html
5	http://lists.opensuse.org/opensuse-updates/2015-04/msg00001.html	Third Party Advisory
6	http://lists.opensuse.org/opensuse-updates/2015-04/msg00001.html	Third Party Advisory
7	http://lists.opensuse.org/opensuse-updates/2015-09/msg00035.html
8	http://lists.opensuse.org/opensuse-updates/2015-09/msg00035.html
9	http://ubuntu.com/usn/usn-2539-1	Third Party Advisory
10	http://ubuntu.com/usn/usn-2539-1	Third Party Advisory
11	http://www.debian.org/security/2015/dsa-3204	Third Party Advisory
12	http://www.debian.org/security/2015/dsa-3204	Third Party Advisory
13	http://www.mandriva.com/security/advisories?name=MDVSA-2015:195	Broken Link
14	http://www.mandriva.com/security/advisories?name=MDVSA-2015:195	Broken Link
15	http://www.oracle.com/technetwork/topics/security/bulletinapr2015-2511959.html	Third Party Advisory
16	http://www.oracle.com/technetwork/topics/security/bulletinapr2015-2511959.html	Third Party Advisory
17	http://www.securityfocus.com/bid/73319
18	http://www.securityfocus.com/bid/73319
19	https://www.djangoproject.com/weblog/2015/mar/18/security-releases/	Vendor Advisory
20	https://www.djangoproject.com/weblog/2015/mar/18/security-releases/	Vendor Advisory

共通脆弱性一覧

No	CWE	名前	URL
1	CWE-79	クロスサイト・スクリプティング（XSS）	https://cwe.mitre.org/data/definitions/79.html

JVN脆弱性情報

Django の utils.http.is_safe_url 関数におけるクロスサイトスクリプティングの脆弱性

タイトル	Django の utils.http.is_safe_url 関数におけるクロスサイトスクリプティングの脆弱性
概要	Django の utils.http.is_safe_url 関数は、URL を適切に検証しないためクロスサイトスクリプティング攻撃を実行される脆弱性が存在します。
想定される影響	第三者により、URL の制御文字を介して、クロスサイトスクリプティング攻撃を実行される可能性があります。
対策	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
公表日	2015年3月18日0:00
登録日	2015年3月31日10:33
最終更新日	2015年3月31日10:33

影響を受けるシステム

Canonical

Ubuntu 10.04 LTS

Ubuntu 12.04 LTS

Ubuntu 14.04 LTS

Ubuntu 14.10

Django Software Foundation

Django 1.4.20

Django 1.5.x

Django 1.6.11 未満の 1.6.x

Django 1.7.7 未満の 1.7.x

Django 1.8c1 未満の 1.8.x

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2015-2317	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-2317
National Vulnerability Database (NVD)
2	CVE-2015-2317	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2317

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-79	https://jvndb.jvn.jp/ja/cwe/CWE-79.html

ベンダー情報

No	名前	URL
Django weblog
1	Security releases issued	https://www.djangoproject.com/weblog/2015/mar/18/security-releases/
Oracle Technology Network
2	Oracle Solaris Third Party Bulletin - April 2015	http://www.oracle.com/technetwork/topics/security/bulletinapr2015-2511959.html
Ubuntu Security Notice
3	USN-2539-1	http://www.ubuntu.com/usn/USN-2539-1/

変更履歴

No	変更内容	変更日
0	[2015年03月31日] 掲載 [2015年05月25日] ベンダ情報：オラクル (Oracle Solaris Third Party Bulletin - April 2015) を追加	2018年2月17日10:37

構成2	以上	以下	より上	未満
cpe:2.3:a:djangoproject:django:1.7.5:::::::*
cpe:2.3:a:djangoproject:django:1.5:::::::*
cpe:2.3:a:djangoproject:django:1.5.7:::::::*
cpe:2.3:a:djangoproject:django:1.5.1:::::::*
cpe:2.3:a:djangoproject:django:1.7.3:::::::*
cpe:2.3:a:djangoproject:django:1.6:beta4::::::
cpe:2.3:a:djangoproject:django::::::::		1.4.19
cpe:2.3:a:djangoproject:django:1.6.7:::::::*
cpe:2.3:a:djangoproject:django:1.7:rc2::::::
cpe:2.3:a:djangoproject:django:1.7:beta1::::::
cpe:2.3:a:djangoproject:django:1.6.5:::::::*
cpe:2.3:a:djangoproject:django:1.6:beta2::::::
cpe:2.3:a:djangoproject:django:1.5.3:::::::*
cpe:2.3:a:djangoproject:django:1.7:beta3::::::
cpe:2.3:a:djangoproject:django:1.5.4:::::::*
cpe:2.3:a:djangoproject:django:1.5.12:::::::*
cpe:2.3:a:djangoproject:django:1.6.8:::::::*
cpe:2.3:a:djangoproject:django:1.5.10:::::::*
cpe:2.3:a:djangoproject:django:1.5:beta::::::
cpe:2.3:a:djangoproject:django:1.6.6:::::::*
cpe:2.3:a:djangoproject:django:1.5.5:::::::*
cpe:2.3:a:djangoproject:django:1.7.2:::::::*
cpe:2.3:a:djangoproject:django:1.7.4:::::::*
cpe:2.3:a:djangoproject:django:1.6.10:::::::*
cpe:2.3:a:djangoproject:django:1.6.3:::::::*
cpe:2.3:a:djangoproject:django:1.7.6:::::::*
cpe:2.3:a:djangoproject:django:1.8.0:::::::*
cpe:2.3:a:djangoproject:django:1.7:rc3::::::
cpe:2.3:a:djangoproject:django:1.5.8:::::::*
cpe:2.3:a:djangoproject:django:1.6.4:::::::*
cpe:2.3:a:djangoproject:django:1.6:-::::::
cpe:2.3:a:djangoproject:django:1.5.9:::::::*
cpe:2.3:a:djangoproject:django:1.6.1:::::::*
cpe:2.3:a:djangoproject:django:1.6.2:::::::*
cpe:2.3:a:djangoproject:django:1.6:beta1::::::
cpe:2.3:a:djangoproject:django:1.6:beta3::::::
cpe:2.3:a:djangoproject:django:1.7:rc1::::::
cpe:2.3:a:djangoproject:django:1.6.9:::::::*
cpe:2.3:a:djangoproject:django:1.7.1:::::::*
cpe:2.3:a:djangoproject:django:1.7:beta2::::::
cpe:2.3:a:djangoproject:django:1.5.2:::::::*
cpe:2.3:a:djangoproject:django:1.5:alpha::::::
cpe:2.3:a:djangoproject:django:1.5.6:::::::*
cpe:2.3:a:djangoproject:django:1.5.11:::::::*
cpe:2.3:a:djangoproject:django:1.7:beta4::::::