Django 1.3.5 版本发行说明

2012 年 12 月 10 日

Django 1.3.5 解决了 1.3 系列中之前 Django 版本存在的两个安全问题。

请注意，这个安全发布与之前的发布略有不同。这里解决的两个问题都已在之前的 Django 安全更新中得到处理。在一个案例中，我们收到了持续的问题报告，另一个案例中，我们选择采取进一步措施来加强 Django 的代码，以应对来自多个来源的潜在问题的独立发现。

Host 头部中毒

早期的几个 Django 安全发布主要关注 HTTP Host 头部被污染的问题，这会导致 Django 生成指向任意、可能恶意的域名的 URL 。

为了回应收到的进一步意见以及在之前发布后持续出现的问题，我们正在采取额外措施来加强 Host 头部验证。与其试图适应 HTTP 支持的所有功能，Django 的 Host 头部验证试图支持一个更小但更常见的子集：

• 主机名必须由字符 [A-Za-z0-9] 加上连字符（’-‘）或点号（’.’）组成。
• 允许使用 IP 地址 - 包括 IPv4 和 IPv6 。
• 如果指定了端口，必须为数字。

现在，任何与此不符的都将被拒绝，并引发异常 django.core.exceptions.SuspiciousOperation。

重定向投毒

同样是跟进之前的问题：今年 7 月，我们对 Django 的 HTTP 重定向类进行了修改，对要重定向到的 URL 的方案进行了额外验证（因为在 Django 自带的应用程序和许多第三方应用程序中，接受用户提供的重定向目标是一种常见的模式）。

从那时起，对代码进行的两次独立审计发现了更多潜在问题。因此，与 Host-header 问题类似，我们正在采取措施提供更严格的验证，以应对报告的问题（主要是与第三方应用程序相关，但在一定程度上也涉及 Django 本身）。这分为两部分：

1. A new utility function, django.utils.http.is_safe_url, is added; this function takes a URL and a hostname, and checks that the URL is either relative, or if absolute matches the supplied hostname. This function is intended for use whenever user-supplied redirect targets are accepted, to ensure that such redirects cannot lead to arbitrary third-party sites.

2. All of Django’s own built-in views — primarily in the authentication system — which allow user-supplied redirect targets now use is_safe_url to validate the supplied URL.