NVD脆弱性詳細

CVE-2021-33571

概要	In Django 2.2 before 2.2.24, 3.x before 3.1.12, and 3.2 before 3.2.4, URLValidator, validate_ipv4_address, and validate_ipv46_address do not prohibit leading zero characters in octal literals. This may allow a bypass of access control that is based on IP addresses. (validate_ipv4_address and validate_ipv46_address are unaffected with Python 3.9.5+..) .
公表日	2021年6月9日3:15
登録日	2021年6月9日10:00
最終更新日	2024年11月21日15:09

影響を受けるソフトウェアの構成

構成2		以上	以下	より上	未満
cpe:2.3:o:fedoraproject:fedora:35:::::::*

関連情報、対策とツール

No	URL	タグ
1	https://docs.djangoproject.com/en/3.2/releases/security/	Patch Vendor Advisory
2	https://docs.djangoproject.com/en/3.2/releases/security/	Patch Vendor Advisory
3	https://github.com/django/django/commit/203d4ab9ebcd72fc4d6eb7398e66ed9e474e118e
4	https://github.com/django/django/commit/203d4ab9ebcd72fc4d6eb7398e66ed9e474e118e
5	https://github.com/django/django/commit/9f75e2e562fa0c0482f3dde6fc7399a9070b4a3d
6	https://github.com/django/django/commit/9f75e2e562fa0c0482f3dde6fc7399a9070b4a3d
7	https://github.com/django/django/commit/f27c38ab5d90f68c9dd60cabef248a570c0be8fc
8	https://github.com/django/django/commit/f27c38ab5d90f68c9dd60cabef248a570c0be8fc
9	https://groups.google.com/g/django-announce/c/sPyjSKMi8Eo	Mailing List Third Party Advisory
10	https://groups.google.com/g/django-announce/c/sPyjSKMi8Eo	Mailing List Third Party Advisory
11	https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/B4SQG2EAF4WCI2SLRL6XRDJ3RPK3ZRDV/
12	https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/B4SQG2EAF4WCI2SLRL6XRDJ3RPK3ZRDV/
13	https://security.netapp.com/advisory/ntap-20210727-0004/	Third Party Advisory
14	https://security.netapp.com/advisory/ntap-20210727-0004/	Third Party Advisory
15	https://www.djangoproject.com/weblog/2021/jun/02/security-releases/	Patch Vendor Advisory
16	https://www.djangoproject.com/weblog/2021/jun/02/security-releases/	Patch Vendor Advisory

共通脆弱性一覧

No	CWE	名前	URL
1	CWE-918	サーバサイドリクエストフォージェリ	https://cwe.mitre.org/data/definitions/918.html

JVN脆弱性情報

Django におけるサーバサイドのリクエストフォージェリの脆弱性

タイトル	Django におけるサーバサイドのリクエストフォージェリの脆弱性
概要	Django には、サーバサイドのリクエストフォージェリの脆弱性が存在します。
想定される影響	情報を改ざんされる可能性があります。
対策	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
公表日	2021年6月2日0:00
登録日	2022年2月28日18:08
最終更新日	2022年2月28日18:08

影響を受けるシステム

Fedora Project

Fedora

Django Software Foundation

Django 2.2.24 未満の 2.2

Django 3.1.12 未満の 3.x

Django 3.2.4 未満の 3.2

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2021-33571	https://www.cve.org/CVERecord?id=CVE-2021-33571
National Vulnerability Database (NVD)
2	CVE-2021-33571	https://nvd.nist.gov/vuln/detail/CVE-2021-33571

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-918	https://cwe.mitre.org/data/definitions/918.html

ベンダー情報

No	名前	URL
Django Software Foundation
1	Archive of security issues	https://docs.djangoproject.com/en/3.2/releases/security/
2	Django security releases issued: 3.2.4, 3.1.12, and 2.2.24	https://www.djangoproject.com/weblog/2021/jun/02/security-releases/
Fedora Update Notification
3	FEDORA-2022-e7fd530688	https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/B4SQG2EAF4WCI2SLRL6XRDJ3RPK3ZRDV/

変更履歴

No	変更内容	変更日
1	[2022年02月28日] 掲載	2022年2月28日18:08