CVE-2017-16654
Təsvir
Symfony-nin 2.7.38, 2.8.31, 3.2.14, 3.3.13, 3.4-BETA5 və 4.0-BETA5 versiyalarından əvvəlki versiyalarında problem aşkar edilmişdir. Intl komponenti yerli fayl sistemindən resurs paketlərini oxumaq üçün istifadə olunan müxtəlif paket oxuyucularını ehtiva edir. Bu siniflərin read() metodları, götürüləcək dil paketini təyin etmək üçün yol və lokal (locale) məlumatlarından istifadə edir. Lokal arqumentinin dəyəri adətən etibarsız istifadəçi girişindən (məsələn, URL parametri kimi) alınır. Hücumçu bu arqumetdən istifadə edərək "dot-dot-slash" hücumu, yəni Directory Traversal vasitəsilə ixtiyari kataloqlara daxil ola bilər.
Necə düzəltmək olar
- symfony/intl2.7.38, 2.8.31, 3.2.14, 3.3.13 və ya daha yeni versiya
- symfony/symfony2.7.38, 2.8.31, 3.2.14, 3.3.13 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sensiolabs symfony | 2.7.0 ≤ v ≤ 2.7.37, 3.2.0 ≤ v ≤ 3.2.13, 3.3.0 ≤ v ≤ 3.3.12, 3.8.0 ≤ v ≤ 3.8.30 | — |
| debian debian_linux | 8.0, 9.0 | — |
| symfony/intlPackagist | 2.7.0 ≤ v < 2.7.38, 2.8.0 ≤ v < 2.8.31, 3.0.0 ≤ v < 3.2.14, 3.3.0 ≤ v < 3.3.13 | 2.7.38, 2.8.31, 3.2.14, 3.3.13 |
| symfony/symfonyPackagist | 2.7.0 ≤ v < 2.7.38, 2.8.0 ≤ v < 2.8.31, 3.0.0 ≤ v < 3.2.14, 3.3.0 ≤ v < 3.3.13 | 2.7.38, 2.8.31, 3.2.14, 3.3.13 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.