KnowSafe 安全预警：Django < 1.11.22/2.1.10/2.2.3 JSONField/HStoreField的键和索引查找中的SQL注入漏洞

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2019-14234 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

在1.11.23之前的Django 1.11.x，2.1.11之前的2.1.x和2.2.4之前的2.2.x中发现了一个问题。由于浅键转换中的错误，django.contrib.postgres.fields.JSONField的键和索引查找以及django.contrib.postgres.fields.HStoreField的键查找都受SQL注入的影响。例如，可以通过在键或索引名称中使用&ldquo;OR 1 = 1&rdquo;来利用这一点来使用适当制作的字典返回所有记录，并使用字典扩展，因为** kwargs传递给QuerySet.filter()函数。

影响范围

应用：djangoproject django（影响面 Up to (excluding) 1.11.23）

应用：djangoproject django（影响面 Up to (excluding) 2.1.11）

应用：djangoproject django（影响面 Up to (excluding) 2.2.4）

系统：alpine_3.10 py-django（影响面 Up to (excluding) 1.11.23-r0）

系统：alpine_3.11 py3-django（影响面 Up to (excluding) 1.11.23-r0）

系统：alpine_3.12 py3-django（影响面 Up to (excluding) 1.11.23-r0）

系统：alpine_3.13 py3-django（影响面 Up to (excluding) 1.11.23-r0）

系统：alpine_3.14 py3-django（影响面 Up to (excluding) 1.11.23-r0）

……另有 26 项受影响环境，详见官方公告

解决方案

升级Django至最新版本。

参考信息

http://lists.opensuse.org/opensuse-security-announce/2019-08/msg00025.html

https://docs.djangoproject.com/en/dev/releases/security/

https://groups.google.com/forum/#%21topic/django-announce/jIoju2-KLDs

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/STVX7X7IDWAH5SKE6MBMY3TEI6ZODBTK/

https://seclists.org/bugtraq/2019/Aug/15

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。