Vulnerabilidades en Django

Vulnerabilidades en Django

En tan sólo cinco días se han ha publicado dos boletines de seguridad para el framework Django. Solucionan dos vulnerabilidades que afectan a la confidencialidad y disponibilidad del sistema.

Django es un framework de código abierto basado en Python para el desarrollo de sitios web siguiendo el patrón MVC (Modelo-Vista-Controlador). Fue publicado por primera vez en 2005, y desde entonces su uso ha experimentado un considerable crecimiento entre los desarrolladores, La última versión estable es la 1.5, encontrándose la versión 1.6 en fase de desarrollo.

La primera vulnerabilidad ha sido descubierta por Rainer Koirikivi y ha sido identificada como CVE-2013-4315. Es debida a un error al no restringir el acceso de la etiqueta para plantilla "ssi" únicamente a los directorios especificados en "TEMPLATE_DIRS". Esto podría permitir el acceso a directorios restringidos a través de un ataque de escalada de directorios.

Por ejemplo, si se utiliza la configuración "ALLOWED_INCLUDE_ROOTS" para incluir algún directorio como "/var/www", podría realizarse un ataque con el siguiente código:

{% ssi '/var/www/../../etc/passwd' %}

Su explotación de forma remota requiere que la plantilla haga uso de la etiqueta "ssi" y que el usuario pueda interactuar con ella y proporcionar la ruta como parámetro de dicha etiqueta.

Tan solo unos días después se ha corregido otra vulnerabilidad con identificador CVE-2013-1443. En esta ocasión se trata de una denegación de servicio, solventada de manera urgente ya que fue publicada antes de reportarla a los desarrolladores del framework.

El problema viene dado por el método por defecto para calcular el hash de las contraseñas (PBKDF2) utilizado por el módulo de autenticación 'django.contrib.auth', que es relativamente costoso de calcular, y la falta de limitación en la longitud de dichas contraseñas. Esto provocaría un excesivo consumo de recursos en el servidor. Un atacante remoto podría causar una denegación de servicio enviando sucesivas peticiones de autenticación con contraseñas de gran tamaño.

Django Software Foundation ha publicado las versiones 1.4.8, 1.5.4, y 1.6 beta 4 de Django que solucionan ambas vulnerabilidades. Se encuentran disponibles para su descarga en la página oficial.

Más información:

Security releases issued: directory traversal with ssi template tag

https://www.djangoproject.com/weblog/2013/sep/10/security-releases-issued/

Security releases issued: denial-of-service via large passwords

https://www.djangoproject.com/weblog/2013/sep/15/security/

Download Django

https://www.djangoproject.com/download/

Index of Packages > Django

https://pypi.python.org/pypi/Django

Fuente:
http://unaaldia.hispasec.com/2013/09/vulnerabilidades-en-django.html