KnowSafe 安全预警：Django 至 1.10.28/2.2.10/3.0.3 tolerance sql 注入漏洞

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2020-9402 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

如果在GIS函数中使用不受信任的数据作为容差参数并在Oracle上进行聚合，则1.11.29之前的Django 1.11、2.2.11之前的2.2和3.0.4之前的3.0允许SQL注入。通过对GIS功能和Oracle上的聚合传递适当的容度，有可能打破转义并注入恶意SQL。

影响范围

应用：djangoproject django（影响面 Up to (excluding) 1.11.29）

应用：djangoproject django（影响面 Up to (excluding) 2.2.11）

应用：djangoproject django（影响面 Up to (excluding) 3.0.4）

系统：alpine_3.10 py-django（影响面 Up to (excluding) 1.11.29-r0）

系统：alpine_3.11 py3-django（影响面 Up to (excluding) 1.11.29-r0）

系统：alpine_3.12 py3-django（影响面 Up to (excluding) 1.11.29-r0）

系统：alpine_3.13 py3-django（影响面 Up to (excluding) 1.11.29-r0）

系统：alpine_3.14 py3-django（影响面 Up to (excluding) 1.11.29-r0）

……另有 15 项受影响环境，详见官方公告

解决方案

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考信息

https://docs.djangoproject.com/en/3.0/releases/security/

https://groups.google.com/forum/#%21topic/django-announce/fLUh_pOaKrY

https://lists.debian.org/debian-lts-announce/2022/05/msg00035.html

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/4A2AP4T7RKPBCLTI2NNQG3T6MINDUUMZ/

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/UZMN2NKAGTFE3YKMNM2JVJG7R2W7LLHY/

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。