漏洞名称 : Django SQL注入漏洞
组件名称 : Django
影响范围 :
Django 3.2
Django 3.1
漏洞类型 : SQL注入
利用条件 :
1、用户认证：不需要用户认证
2、触发方式：远程
综合评价 :
：未知
：高危，最终造成服务器敏感信息泄露。
Django是一个开放源代码的Web应用框架，由Python写成。采用了MVC的框架模式，即模型M，视图V和控制器C。它最初是被开发来用于管理劳伦斯出版集团旗下的一些以新闻内容为主的网站的，即是CMS（内容管理系统）软件。
近日，深信服安全团队监测到一则Django组件存在SQL注入漏洞的信息，漏洞编号：CVE-2021-35042，漏洞威胁等级：高危。
该漏洞是由于对QuerySet.order_by()中用户提供数据的过滤不足，攻击者可利用该漏洞在未授权的情况下，构造恶意数据执行SQL注入攻击，最终造成服务器敏感信息泄露。
在世界范围内，Django主要分布在美国，在中国、德国、印度等国家也有少量分布
国内主要分布在浙江、北京、上海等地。
目前受影响的Django版本：
Django 3.2
Django 3.1
在python命令行中输入
import django
django.get_version()即可显示版本信息
当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：
https://www.djangoproject.com/weblog/2021/jul/01/security-releases/
【深信服下一代防火墙】当前可防御此漏洞， 建议用户将深信服下一代防火墙开启 WAF防护策略，并更新最新安全防护规则，即可轻松抵御此高危风险。
【深信服安全感知平台】结合云端实时热点高危/紧急漏洞信息，可快速检出业务场景下的该漏洞，并可联动【深信服下一代防火墙等产品】实现对攻击者IP的封堵。
2021/7/12 深信服监测到Django SQL注入漏洞攻击信息
2021/7/14 深信服千里目安全实验室发布漏洞通告。
点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。
深信服科技旗下安全实验室，致力于网络安全攻防技术的研究和积累，深度洞察未知网络安全威胁，解读前沿安全技术。
● 扫码关注我们
