Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-04113

Опубликовано: 17 нояб. 2017
Источник: fstec
CVSS3: 5.9
CVSS2: 5.4
EPSS Низкий

Описание

Уязвимость программной платформы для разработки и управления веб-приложениями Symfony связана с отсутствием использования различных CSRF-токенов для HTTP и HTTPS. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации

Вендор

Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
SensioLabs, symfony community

Наименование ПО

Debian GNU/Linux
Astra Linux Special Edition
Symfony

Версия ПО

9 (Debian GNU/Linux)
1.6 «Смоленск» (Astra Linux Special Edition)
от 2.7.0 до 2.7.37 включительно (Symfony)
от 2.8.0 до 2.8.30 включительно (Symfony)
от 3.2.0 до 3.2.13 включительно (Symfony)
от 3.3.0 до 3.3.12 включительно (Symfony)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,4)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,9)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Astra Linux:
https://wiki.astralinux.ru/pages/viewpage.action?pageId=44892734
Для Debian GNU/Linux:
https://www.debian.org/security/2018/dsa-4262
Для Symfony:
https://symfony.com/blog/cve-2017-16653-csrf-protection-does-not-use-different-tokens-for-http-and-https

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 57%
0.00357
Низкий

5.9 Medium

CVSS3

5.4 Medium

CVSS2

Связанные уязвимости

CVSS3: 5.9
ubuntu
почти 7 лет назад

An issue was discovered in Symfony before 2.7.38, 2.8.31, 3.2.14, 3.3.13, 3.4-BETA5, and 4.0-BETA5. The current implementation of CSRF protection in Symfony (Version >=2) does not use different tokens for HTTP and HTTPS; therefore the token is subject to MITM attacks on HTTP and can then be used in an HTTPS context to do CSRF attacks.

CVSS3: 5.9
nvd
почти 7 лет назад

An issue was discovered in Symfony before 2.7.38, 2.8.31, 3.2.14, 3.3.13, 3.4-BETA5, and 4.0-BETA5. The current implementation of CSRF protection in Symfony (Version >=2) does not use different tokens for HTTP and HTTPS; therefore the token is subject to MITM attacks on HTTP and can then be used in an HTTPS context to do CSRF attacks.

CVSS3: 5.9
debian
почти 7 лет назад

An issue was discovered in Symfony before 2.7.38, 2.8.31, 3.2.14, 3.3. ...

CVSS3: 5.9
github
около 3 лет назад

Symfony CSRF Vulnerability

EPSS

Процентиль: 57%
0.00357
Низкий

5.9 Medium

CVSS3

5.4 Medium

CVSS2