一、 漏洞 CVE-2020-9402 基础信息
漏洞信息
# N/A
## 漏洞概述
Django在特定版本中存在SQL注入漏洞。该漏洞发生在使用未受信任的数据作为Oracle数据库GIS函数和聚合函数的容差参数时。
## 影响版本
- 1.11 before 1.11.29
- 2.2 before 2.2.11
- 3.0 before 3.0.4
## 细节
通过传递精心构造的容差参数到Oracle数据库的GIS函数和聚合函数中，可以使转义机制失效，从而注入恶意SQL语句。
## 影响
此漏洞可能导致SQL注入攻击，攻击者可以通过利用精心构造的输入参数来执行恶意SQL命令，从而可能危及数据完整性、机密性和系统安全性。
神龙判断
是否为 Web 类漏洞： 是
判断理由：
是。这个漏洞涉及Django框架在处理特定GIS函数和聚合操作时，如果没有正确处理或验证来自用户的输入数据，可能会导致SQL注入攻击。这种安全问题通常发生在服务端，因为服务端负责执行SQL查询，而攻击者可以通过构造特定的输入来操控这些查询，执行非授权的操作。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Django 1.11 before 1.11.29, 2.2 before 2.2.11, and 3.0 before 3.0.4 allows SQL Injection if untrusted data is used as a tolerance parameter in GIS functions and aggregates on Oracle. By passing a suitably crafted tolerance to GIS functions and aggregates on Oracle, it was possible to break escaping and inject malicious SQL.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
Django SQL注入漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Django是Django基金会的一套基于Python语言的开源Web应用框架。该框架包括面向对象的映射器、视图系统、模板系统等。 Django 1.11.29之前的1.11.x版本、2.2.11之前的2.2.x版本和3.0.4之前的3.0.x版本中存在SQL注入漏洞。攻击者可借助特制的SQL语句利用该漏洞查看、添加、修改或删除数据库中的信息。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
SQL注入
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2020-9402 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|---|---|---|
| 1 | Django 1.11 before 1.11.29, 2.2 before 2.2.11, and 3.0 before 3.0.4 allow SQL injection if untrusted data is used as a tolerance parameter in GIS functions and aggregates on Oracle. By passing a suitably crafted tolerance to GIS functions and aggregates on Oracle, it is possible to break character escaping and inject malicious SQL. | https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2020/CVE-2020-9402.yaml | POC详情 |
| 2 | None | https://github.com/Threekiii/Awesome-POC/blob/master/%E5%BC%80%E5%8F%91%E6%A1%86%E6%9E%B6%E6%BC%8F%E6%B4%9E/Django%20GIS%20SQL%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%20CVE-2020-9402.md | POC详情 |
| 3 | https://github.com/vulhub/vulhub/blob/master/django/CVE-2020-9402/README.md | POC详情 | |
| 4 | Django 1.11 before 1.11.29, 2.2 before 2.2.11, and 3.0 before 3.0.4 allow SQL injection if untrusted data is used as a tolerance parameter in GIS functions and aggregates on Oracle. By passing a suitably crafted tolerance to GIS functions and aggregates on Oracle, it is possible to break character escaping and inject malicious SQL. | https://github.com/projectdiscovery/nuclei-templates/blob/main/dast/cves/2020/CVE-2020-9402.yaml | POC详情 |
三、漏洞 CVE-2020-9402 的情报信息
标题： Sign in - Google Accounts -- 🔗来源链接
标签：x_refsource_MISC
神龙速读：从这张网页截图中，我们无法直接获取到关于漏洞的关键信息。这只是一个标准的Google登录页面，没有任何明显的安全漏洞迹象。这个页面要求用户使用他们的Google帐户登录，并且包含了常见的安全提示，如建议在非个人计算机上使用访客模式登录。
- https://docs.djangoproject.com/en/3.0/releases/security/x_refsource_MISC
- https://www.djangoproject.com/weblog/2020/mar/04/security-releases/x_refsource_CONFIRM
- https://security.netapp.com/advisory/ntap-20200327-0004/x_refsource_CONFIRM
- https://www.debian.org/security/2020/dsa-4705vendor-advisoryx_refsource_DEBIAN
- https://usn.ubuntu.com/4296-1/vendor-advisoryx_refsource_UBUNTU
- https://security.gentoo.org/glsa/202004-17vendor-advisoryx_refsource_GENTOO
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/4A2AP4T7RKPBCLTI2NNQG3T6MINDUUMZ/vendor-advisoryx_refsource_FEDORA
标题： Oh noes! -- 🔗来源链接
标签：vendor-advisoryx_refsource_FEDORA
神龙速读：### 关键信息 - **错误信息**: - 访问被拒绝，错误代码：4d1dbaddfcc0f385 - **安全信息**: - 网站受Anubis (来自Techaro)保护 - **版本信息**: - 网站运行的Anubis版本: 1.22.0-2.fc42 ### 可能的漏洞点 - **错误代码泄露**: - 显示详细的错误代码可能泄露内部信息，攻击者可利用这些信息进行进一步攻击。 - **版本信息暴露**: - 网站显示了具体的Anubis版本号，攻击者可以通过已知漏洞数据库查找该版本的安全问题。
- https://lists.debian.org/debian-lts-announce/2022/05/msg00035.htmlmailing-listx_refsource_MLIST
- https://nvd.nist.gov/vuln/detail/CVE-2020-9402
四、漏洞 CVE-2020-9402 的评论
暂无评论