Django: 欠落または過小評価された `Content-Length` ヘッダーを持つ SGI リクエストは、`DATA_UPLOAD_MAX_MEMORY_SIZE` 制限を回避する可能性があります

この脆弱性は、攻撃者がDjangoアプリケーションに大量のデータを送信し、メモリを枯渇させるDoS攻撃に利用される可能性があります。さらに、攻撃者はこの脆弱性を悪用して、機密情報を盗み出したり、アプリケーションの動作を改ざんしたりする可能性があります。特に、ファイルアップロード機能を実装しているアプリケーションでは、悪意のあるファイルがアップロードされるリスクが高まります。この脆弱性は、Log4Shellのような広範囲な影響を及ぼす可能性があり、注意が必要です。

Web applications using Django versions 6.0, 5.2, or 4.2 are at risk, particularly those that handle user-uploaded files or process large data payloads. Shared hosting environments running vulnerable Django applications are also at increased risk due to the potential for cross-tenant attacks.

• python / server:

# Check for vulnerable Django versions
python -c 'import django; print(django.get_version())'

• python / server:

# Examine ASGI middleware for Content-Length validation
# (Review your custom middleware code)

• generic web:

# Check Django application logs for errors related to Content-Length or memory limits
# (Look for exceptions related to exceeding DATA_UPLOAD_MAX_MEMORY_SIZE)

1. 2026-04-07Disclosure

   disclosure

1. 予約済み2026-03-17
2. 公開日2026-04-07
3. 更新日2026-04-09
4. EPSS 更新日2026-04-15

まず、Djangoを6.0.4、5.2.13、または4.2.30以降のバージョンにアップデートすることを強く推奨します。アップデートが困難な場合は、WAF（Web Application Firewall）を使用して、Content-Lengthヘッダーの異常な値を検出およびブロックするルールを実装することを検討してください。また、DATAUPLOADMAXMEMORYSIZEの設定値を適切に設定し、デフォルト値よりも小さい値に制限することも有効です。アップデート後、アプリケーションを再起動し、Content-Lengthヘッダーを適切に処理していることを確認してください。