Django Oracle数据库SQL注入漏洞(CVE-2024-53908)

admin 2024年12月9日23:32:56评论104 views字数 1102阅读3分40秒阅读模式
Django Oracle数据库SQL注入漏洞(CVE-2024-53908)

漏洞名称:

Django Oracle数据库SQL注入漏洞(CVE-2024-53908)

组件名称:

Django

影响范围:

Django 5.1 < 5.1.4
Django 5.0 < 5.0.10
Django 4.2 < 4.2.17

漏洞类型:

SQL注入

利用条件:

1、用户认证:不需要用户认证

2、前置条件:默认配置

3、触发方式:远程

综合评价:

<综合评定利用难度>:容易。

<综合评定威胁等级>:高危。

官方解决方案:

已发布

漏洞分析

Django Oracle数据库SQL注入漏洞(CVE-2024-53908)

组件介绍

Django 是一个高级 Python Web 框架,它鼓励快速开发和干净、实用的设计。由经验丰富的开发人员构建,它解决了 Web 开发的大部分麻烦,因此您可以专注于编写您的应用程序,而无需重新发明轮子。它是免费和开源的。

Django Oracle数据库SQL注入漏洞(CVE-2024-53908)

漏洞简介

2024年12月6日,深瞳漏洞实验室监测到一则Django组件存在SQL注入漏洞的信息,漏洞编号:CVE-2024-53908,漏洞威胁等级:高危。

在使用Oracle作为后端数据库时,Django框架中存在一个SQL注入漏洞。通过django.db.models.fields.json.HasKey,攻击者可以将恶意语句作为lhs值注入数据库,从而导致数据泄露和服务器失陷。

影响范围

目前受影响的Django版本:

Django 5.1 < 5.1.4
Django 5.0 < 5.0.10
Django 4.2 < 4.2.17

解决方案

Django Oracle数据库SQL注入漏洞(CVE-2024-53908)

如何检测组件系统版本

控制台输入命令:django-admin --version

Django Oracle数据库SQL注入漏洞(CVE-2024-53908)

官方修复建议

安全版本:
Django 5.1.4
Django 5.0.10
Django 4.2.17
官方已发布最新版本修复该漏洞,建议后端使用Oracle数据库的用户将Django更新到安全版本及以上的版本。
下载链接:https://www.djangoproject.com/download/

Django Oracle数据库SQL注入漏洞(CVE-2024-53908)

深信服解决方案

漏洞主动检

支持对Django的主动检测,可批量检出业务场景中该事件的受影响资产情况,相关产品如下:

【深信服主机安全检测响应平台CWPP】已发布资产检测方案,指纹ID:0000667。

【深信服云镜YJ】已发布资产检测方案,指纹ID:0000667。

参考链接

https://www.djangoproject.com/weblog/2024/dec/04/security-release

时间轴

2024/12/6

深瞳漏洞实验室监测到Django Oracle数据库SQL注入漏洞信息。

2024/12/6

深瞳漏洞实验室发布漏洞通告。

点击阅读原文

原文始发于微信公众号(深信服千里目安全技术中心):【漏洞通告】Django Oracle数据库SQL注入漏洞(CVE-2024-53908)

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年12月9日23:32:56
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   Django Oracle数据库SQL注入漏洞(CVE-2024-53908)https://cn-sec.com/archives/3477701.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.

发表评论

匿名网友 填写信息