CVE-2017-16654
Açıklama
Symfony'nin 2.7.38, 2.8.31, 3.2.14, 3.3.13, 3.4-BETA5 ve 4.0-BETA5 sürümlerinden öncekilerde bir sorun tespit edilmiştir. Intl bileşeni, yerel dosya sisteminden kaynak paketlerini okumak için kullanılan çeşitli paket okuyucular içerir. Bu sınıfların read() metodları, getirilecek dil paketini belirlemek için bir yol ve bir yerelleştirme (locale) bilgisi kullanır. Yerelleştirme bağımsız değişkeninin değeri genellikle güvenilmeyen kullanıcı girişlerinden (bir URL parametresi gibi) alınır. Bir saldırgan, bu bağımsız değişkeni kullanarak "dot-dot-slash" saldırısı olarak da bilinen Directory Traversal yoluyla rastgele dizinlere erişebilir.
Nasıl düzeltilir
- symfony/intl2.7.38, 2.8.31, 3.2.14, 3.3.13 ya da sonraki bir sürüm
- symfony/symfony2.7.38, 2.8.31, 3.2.14, 3.3.13 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sensiolabs symfony | 2.7.0 ≤ v ≤ 2.7.37, 3.2.0 ≤ v ≤ 3.2.13, 3.3.0 ≤ v ≤ 3.3.12, 3.8.0 ≤ v ≤ 3.8.30 | — |
| debian debian_linux | 8.0, 9.0 | — |
| symfony/intlPackagist | 2.7.0 ≤ v < 2.7.38, 2.8.0 ≤ v < 2.8.31, 3.0.0 ≤ v < 3.2.14, 3.3.0 ≤ v < 3.3.13 | 2.7.38, 2.8.31, 3.2.14, 3.3.13 |
| symfony/symfonyPackagist | 2.7.0 ≤ v < 2.7.38, 2.8.0 ≤ v < 2.8.31, 3.0.0 ≤ v < 3.2.14, 3.3.0 ≤ v < 3.3.13 | 2.7.38, 2.8.31, 3.2.14, 3.3.13 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.