漏洞名称：
Django Oracle数据库SQL注入漏洞(CVE-2024-53908)
组件名称：
Django
影响范围：
Django 5.1 < 5.1.4
Django 5.0 < 5.0.10
Django 4.2 < 4.2.17
漏洞类型：
SQL注入
利用条件：
1、用户认证：不需要用户认证
2、前置条件：默认配置
3、触发方式：远程
综合评价：
<综合评定利用难度>：容易。
<综合评定威胁等级>：高危。
官方解决方案：
已发布
漏洞分析
组件介绍
Django 是一个高级 Python Web 框架，它鼓励快速开发和干净、实用的设计。由经验丰富的开发人员构建，它解决了 Web 开发的大部分麻烦，因此您可以专注于编写您的应用程序，而无需重新发明轮子。它是免费和开源的。
漏洞简介
在使用Oracle作为后端数据库时，Django框架中存在一个SQL注入漏洞。通过django.db.models.fields.json.HasKey，攻击者可以将恶意语句作为lhs值注入数据库，从而导致数据泄露和服务器失陷。
影响范围
Django 5.1 < 5.1.4
Django 5.0 < 5.0.10
Django 4.2 < 4.2.17
解决方案
如何检测组件系统版本
控制台输入命令：django-admin --version
官方修复建议
安全版本:
Django 5.1.4
Django 5.0.10
Django 4.2.17
官方已发布最新版本修复该漏洞，建议后端使用Oracle数据库的用户将Django更新到安全版本及以上的版本。
下载链接：https://www.djangoproject.com/download/
深信服解决方案
漏洞主动检测
支持对Django的主动检测，可批量检出业务场景中该事件的受影响资产情况，相关产品如下：
【深信服主机安全检测响应平台CWPP】已发布资产检测方案，指纹ID:0000667。
【深信服云镜YJ】已发布资产检测方案，指纹ID:0000667。
参考链接
时间轴
2024/12/6
深瞳漏洞实验室监测到Django Oracle数据库SQL注入漏洞信息。
2024/12/6
深瞳漏洞实验室发布漏洞通告。
点击阅读原文，
原文始发于微信公众号（深信服千里目安全技术中心）：【漏洞通告】Django Oracle数据库SQL注入漏洞(CVE-2024-53908)
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论