• 我的位置：
  • 首頁
  • -
  • 漏洞預(yù)警
  • -
  • 應(yīng)用
  • -
    • Django SQL注入漏洞
    • CNNVD編號：未知
    • 危害等級： 高危 
    • CVE編號：CVE-2021-35042
    • 漏洞類型： CVE-2021-35042
    • 威脅類型：遠(yuǎn)程
    • 廠       商：未知
    • 漏洞來源：深信服
    • 發(fā)布時(shí)間：2021-07-15
    • 更新時(shí)間：2021-07-15

    漏洞簡介

    1、組件介紹

    Django是一個(gè)開放源代碼的Web應(yīng)用框架，由Python寫成。采用了MVC的框架模式，即模型M，視圖V和控制器C。它最初是被開發(fā)來用于管理勞倫斯出版集團(tuán)旗下的一些以新聞內(nèi)容為主的網(wǎng)站的，即是CMS（內(nèi)容管理系統(tǒng)）軟件。

    2、漏洞描述

    近日，深信服安全團(tuán)隊(duì)監(jiān)測到一則Django組件存在SQL注入漏洞的信息，漏洞編號：CVE-2021-35042，漏洞威脅等級：高危。

    該漏洞是由于對QuerySet.order_by()中用戶提供數(shù)據(jù)的過濾不足，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行SQL注入攻擊，最終造成服務(wù)器敏感信息泄露。

    漏洞公示

    暫無

    參考網(wǎng)站

    暫無

    受影響實(shí)體

    在世界范圍內(nèi)，Django主要分布在美國，在中國、德國、印度等國家也有少量分布

    國內(nèi)主要分布在浙江、北京、上海等地。

    目前受影響的Django版本：

    Django 3.2

    Django 3.1

    補(bǔ)丁

    1、如何檢測組件系統(tǒng)版本

    在python命令行中輸入

    import django

    django.get_version()即可顯示版本信息


    2、官方修復(fù)建議

    當(dāng)前官方已發(fā)布最新版本，建議受影響的用戶及時(shí)更新升級到最新版本。鏈接如下：

    https://www.djangoproject.com/weblog/2021/jul/01/security-releases/

    3、深信服解決方案

    【深信服下一代防火墻】當(dāng)前可防御此漏洞， 建議用戶將深信服下一代防火墻開啟 WAF防護(hù)策略，并更新最新安全防護(hù)規(guī)則，即可輕松抵御此高危風(fēng)險(xiǎn)。

    【深信服安全感知平臺】結(jié)合云端實(shí)時(shí)熱點(diǎn)高危/緊急漏洞信息，可快速檢出業(yè)務(wù)場景下的該漏洞，并可聯(lián)動【深信服下一代防火墻等產(chǎn)品】實(shí)現(xiàn)對攻擊者IP的封堵。