Django 1.2.2 रिलीज - सुरक्षा अद्यतन

8 सितंबर, 2010 को, Django डेवलपर्स ने कमजोरियों को बंद करने के लिए 1.2.2 रिलीज की, जो हमलावरों को XSS हमलों को लॉन्च करने की अनुमति दे सकती थी। विडंबना यह है कि XSS की भेद्यता प्रणाली के कोड में थी, जो एक अन्य प्रकार के हमले के खिलाफ सुरक्षा करता है - CSRF । इस प्रणाली को मूल रूप से 1.2 संस्करण में बदल दिया गया है (पिछले संस्करणों में, सीएसआरएफ के खिलाफ सुरक्षा ढांचे के मूल का हिस्सा नहीं थी और सिर्फ एक प्लग करने योग्य परत थी)।

दिल

CSRF के खिलाफ सुरक्षा निम्नलिखित सिद्धांत के अनुसार काम करती है: एक यादृच्छिक अनुक्रम (टोकन) उत्पन्न होता है, जिसे प्रपत्र के छिपे हुए क्षेत्र में डाला जाता है और उसी क्रम को एक विशेष कुकी में लिखा जाता है। फॉर्म जमा करते समय, छिपे हुए फ़ील्ड और कुकी के मूल्यों की तुलना की जाती है और, यदि ये मान मेल खाते हैं, तो यह माना जाता है कि फॉर्म विश्वसनीय उपयोगकर्ता द्वारा पूरा किया गया था।



अब स्वयं भेद्यता के बारे में: जैसा कि यह निकला, टेम्प्लेट टैग {% csrf_token %}



, फॉर्म कोड में छिपे हुए फ़ील्ड के HTML कोड को डालने के लिए उपयोग किया जाता है, बिना शर्त टोकन के मूल्य पर भरोसा करता है और भागने के बिना सम्मिलित करता है। टोकन का मूल्य कुकी से लिया जाता है। इस प्रकार, एक हमलावर संभावित रूप से एक कुकी को नकली बना सकता है और HTML कोड को इसके मूल्य में इंजेक्ट कर सकता है, जिससे यह पृष्ठ पर एम्बेड हो सकता है।

कमजोर संस्करण

• वर्तमान ट्रंक संस्करण
• Django 1.2.x

1.2 से पहले के संस्करण समझदारी के लिए अतिसंवेदनशील नहीं हैं।

समस्या हल करना

डेवलपर्स शाखा 1.2 के सभी उपयोगकर्ताओं को तुरंत 1.2.2 पर अपग्रेड करने की पेशकश करते हैं और ध्यान दें कि उन्होंने अग्रिम सूचनाएं नहीं दी हैं।



आप मैन्युअल रूप से पैच को लागू कर सकते हैं या भेद्यता के सार को बेहतर ढंग से समझने के लिए अलग-अलग देख सकते हैं।

यह भी देखें

• सुरक्षा रिलीज़ जारी - रिलीज़ का मूल पाठ (वास्तव में, यह विषय इसका बहुत मुफ्त अनुवाद है)
• क्रॉस साइट अनुरोध क्षमा (CSRF)
• क्रॉस साइट स्क्रिप्टिंग (XSS)

पीएस यह अजीब है कि लगभग एक दिन के लिए उन्होंने खबर पर ज्यादा ध्यान नहीं दिया, हालांकि कुछ ने तुरंत प्रतिक्रिया व्यक्त की