CVE-2018-14773
Açıklama
Symfony 2.7.0 ile 2.7.48, 2.8.0 ile 2.8.43, 3.3.0 ile 3.3.17, 3.4.0 ile 3.4.13, 4.0.0 ile 4.0.13 ve 4.1.0 ile 4.1.2 sürümleri arasındaki Http Foundation bileşeninde bir sorun tespit edilmiştir. Bu durum, kullanıcıların X-Original-URL veya X-Rewrite-URL HTTP istek başlıkları aracılığıyla istek URL'sindeki yolu geçersiz kılmalarına izin veren (eski) bir IIS başlığı desteğinden kaynaklanmaktadır. Bu başlıklar IIS desteği için tasarlanmıştır ancak sunucunun gerçekten IIS çalıştırdığı doğrulanmamaktadır; bu da söz konusu istekleri bir uygulamaya gönderebilen herkesin bunu tetikleyebileceği anlamına gelir. Bu durum, hem X-Original-URL hem de X_REWRITE_URL'nin kullanıldığı \Symfony\Component\HttpFoundation\Request::prepareRequestUri() fonksiyonunu etkilemektedir. Düzeltme, bu yöntemlerin web önbellek zehirlemesi gibi saldırı vektörleri olarak kullanılamaması için desteklerini kaldırmaktadır.
Nasıl düzeltilir
- drupal drupal8.5.6 ya da sonraki bir sürüm
- symfony/http-foundation2.7.49, 2.8.44, 3.3.18, 3.4.14, 4.0.14, 4.1.3 ya da sonraki bir sürüm
- symfony/symfony2.7.49, 2.8.44, 3.3.18, 3.4.14, 4.0.14, 4.1.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sensiolabs symfony | 2.7.0 < v ≤ 2.7.48, 2.8.0 ≤ v ≤ 2.8.43, 3.3.0 ≤ v ≤ 3.3.17, 3.4.0 ≤ v ≤ 3.4.13, 4.0.0 ≤ v ≤ 4.0.13, 4.1.0 ≤ v ≤ 4.1.2 | — |
| debian debian_linux | 8.0, 9.0 | — |
| drupal drupal | 8.0.0 ≤ v < 8.5.6 | 8.5.6 |
| symfony/http-foundationPackagist | 2.7.0 ≤ v < 2.7.49, 2.8.0 ≤ v < 2.8.44, 3.0.0 ≤ v < 3.3.18, 3.4.0 ≤ v < 3.4.14, 4.0.0 ≤ v < 4.0.14, 4.1.0 ≤ v < 4.1.3 | 2.7.49, 2.8.44, 3.3.18, 3.4.14, 4.0.14, 4.1.3 |
| symfony/symfonyPackagist | 2.7.0 ≤ v < 2.7.49, 2.8.0 ≤ v < 2.8.44, 3.0.0 ≤ v < 3.3.18, 3.4.0 ≤ v < 3.4.14, 4.0.0 ≤ v < 4.0.14, 4.1.0 ≤ v < 4.1.3 | 2.7.49, 2.8.44, 3.3.18, 3.4.14, 4.0.14, 4.1.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.