KnowSafe 安全预警：Django < 1.11.27/2.2.9/3.0.2 SQL注入漏洞

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2020-7471 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Django是由Python编程语言驱动的一个开源Web应用程序框架。Django 1.11、2.2、3.0、master分支，在 StringAgg(delimiter)的实现上存在SQL注入漏洞。攻击者通过传递构造的分隔符给contrib.postgres.aggregates.StringAgg实例，从而绕过转义并注入恶意SQL语句。<br>

影响范围

应用：djangoproject django（影响面 Up to (excluding) 1.11.28）

应用：djangoproject django（影响面 Up to (excluding) 2.2.10）

应用：djangoproject django（影响面 Up to (excluding) 3.0.3）

系统：alpine_3.10 py-django（影响面 Up to (excluding) 1.11.28-r0）

系统：alpine_3.11 py3-django（影响面 Up to (excluding) 1.11.28-r0）

系统：alpine_3.12 py3-django（影响面 Up to (excluding) 1.11.28-r0）

系统：alpine_3.13 py3-django（影响面 Up to (excluding) 1.11.28-r0）

系统：alpine_3.14 py3-django（影响面 Up to (excluding) 1.11.28-r0）

……另有 14 项受影响环境，详见官方公告

解决方案

升级至官方安全版本

参考信息

http://www.openwall.com/lists/oss-security/2020/02/03/1

https://docs.djangoproject.com/en/3.0/releases/security/

https://github.com/django/django/commit/eb31d845323618d688ad429479c6dda973056136

https://groups.google.com/forum/#%21topic/django-announce/X45S86X5bZI

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/4A2AP4T7RKPBCLTI2NNQG3T6MINDUUMZ/

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。