[2019.12.03] Django admin 사이트 권한 상승 취약점 (CVE-2019-19118)

요약

- Django(장고)

: 파이썬으로 작성된 오픈 소스 웹 애플리케이션 프레임워크로, 모델-뷰-컨트롤러 패턴을 따르고 있다. 현재는 장고 소프트웨어 재단에 의해 관리되고 있음.

  고도의 데이터베이스 기반 웹사이트를 작성하는 데 있어서 수고를 더는 것이 장고의 주된 목표임.

- 취약점 : 수정 권한이 없는 사용자가 저장과 관련된 시그널을 트리거 할 수 있음.

- 취약 원인 : 장고 어드민 사이트는 부모 모델과 관련된 인라인 모델을 함께 보여줌. 사용자는 부모 모델에 대한 “보기(view)” 권한만 가지나, 

                 인라인 모델에 대해서는 “수정(edit)”이 가능한 폼들에 대해 접근 가능함.

                 폼들을 수정하는 것으로 부모 모델을 직접적으로 변경가능하지 않으나, 부모 모델의 저장 전, 후의 시그널을 담당하는 save 함수를 

                  트리거 시켜 권한 상승 취약점 유발.

- 영향 받는 제품 : 

Django master branch

Django 3.0

Django 2.2

Django 2.1

- 대응 방안 :  각 버전 별 패치

관련 CVE정보

- CVE-2019-19118

참고자료

출처 : hxxps://www.djangoproject.com/weblog/2019/dec/02/security-releases/

hxxps://twitter.com/chybeta/status/1201449525367336960

hxxps://twitter.com/jas502n/status/1201536750192975872

hxxps://nvd.nist.gov/vuln/detail/CVE-2019-19118

hxxps://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-19118