- CNNVD編號：未知
- 危害等級： 高危
- CVE編號：CVE-2021-35042
- 漏洞類型： CVE-2021-35042
- 威脅類型：遠程
- 廠 商：未知
- 漏洞來源：深信服
- 發(fā)布時間：2021-07-15
- 更新時間：2021-07-15
漏洞簡介
1、組件介紹
Django是一個開放源代碼的Web應用框架，由Python寫成。采用了MVC的框架模式，即模型M，視圖V和控制器C。它最初是被開發(fā)來用于管理勞倫斯出版集團旗下的一些以新聞內(nèi)容為主的網(wǎng)站的，即是CMS（內(nèi)容管理系統(tǒng)）軟件。
2、漏洞描述
近日，深信服安全團隊監(jiān)測到一則Django組件存在SQL注入漏洞的信息，漏洞編號：CVE-2021-35042，漏洞威脅等級：高危。
該漏洞是由于對QuerySet.order_by()中用戶提供數(shù)據(jù)的過濾不足，攻擊者可利用該漏洞在未授權的情況下，構造惡意數(shù)據(jù)執(zhí)行SQL注入攻擊，最終造成服務器敏感信息泄露。
漏洞公示
參考網(wǎng)站
受影響實體
在世界范圍內(nèi)，Django主要分布在美國，在中國、德國、印度等國家也有少量分布
國內(nèi)主要分布在浙江、北京、上海等地。
目前受影響的Django版本：
Django 3.2
Django 3.1
補丁
1、如何檢測組件系統(tǒng)版本
在python命令行中輸入
import django
django.get_version()即可顯示版本信息
2、官方修復建議
當前官方已發(fā)布最新版本，建議受影響的用戶及時更新升級到最新版本。鏈接如下：
https://www.djangoproject.com/weblog/2021/jul/01/security-releases/
3、深信服解決方案
【深信服下一代防火墻】當前可防御此漏洞， 建議用戶將深信服下一代防火墻開啟 WAF防護策略，并更新最新安全防護規(guī)則，即可輕松抵御此高危風險。
【深信服安全感知平臺】結合云端實時熱點高危/緊急漏洞信息，可快速檢出業(yè)務場景下的該漏洞，并可聯(lián)動【深信服下一代防火墻等產(chǎn)品】實現(xiàn)對攻擊者IP的封堵。
