BDU:2019-04246

Опубликовано: 25 мая 2018

Источник: fstec

CVSS3: 6.1

CVSS2: 6.4

EPSS Низкий

Описание

Уязвимость подкомпонента security.http_utils компонента Security программной платформы для разработки и управления веб-приложениями Symfony связана с переадресацией URL на ненадежный сайт. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить фишинг-атаки и получить доступ к защищаемой информации, используя специально созданный URI

Вендор

Fedora Project

ООО «РусБИТех-Астра»

Сообщество свободного программного обеспечения

SensioLabs, symfony community

Наименование ПО

Fedora

Astra Linux Special Edition

Debian GNU/Linux

Symfony

Версия ПО

28 (Fedora)

1.6 «Смоленск» (Astra Linux Special Edition)

8.0 (Debian GNU/Linux)

от 2.7.0 до 2.7.48 (Symfony)

от 2.8.0 до 2.8.41 (Symfony)

от 3.3.0 до 3.3.17 (Symfony)

от 3.4.0 до 3.4.11 (Symfony)

от 4.0.0 до 4.0.11 (Symfony)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Fedora Project Fedora 28

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Astra Linux:

https://wiki.astralinux.ru/pages/viewpage.action?pageId=44892734

Для Symfony:

https://symfony.com/blog/cve-2018-11408-open-redirect-vulnerability-on-security-handlers

Для Debian GNU/Linux:

https://lists.debian.org/debian-lts-announce/2019/03/msg00009.html

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/G4XNBMFW33H47O5TZGA7JYCVLDBCXAJV/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/UBQK7JDXIELADIPGZIOUCZKMAJM5LSBW/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/WU5N2TZFNGXDGMXMPP7LZCWTFLENF6WH/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-11408
CVE

EPSS

Процентиль: 53%

0.00307

Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

CVE-2018-11408

CVSS3: 6.1

ubuntu

около 7 лет назад

The security handlers in the Security component in Symfony in 2.7.x before 2.7.48, 2.8.x before 2.8.41, 3.3.x before 3.3.17, 3.4.x before 3.4.11, and 4.0.x before 4.0.11 have an Open redirect vulnerability when security.http_utils is inlined by a container. NOTE: this issue exists because of an incomplete fix for CVE-2017-16652.

CVE-2018-11408

CVSS3: 6.1

nvd

около 7 лет назад

CVE-2018-11408

CVSS3: 6.1

debian

около 7 лет назад

The security handlers in the Security component in Symfony in 2.7.x be ...

GHSA-7hwc-2cq4-6x2w

CVSS3: 6.1

github

около 3 лет назад

Symfony Open Redirect

EPSS

Процентиль: 53%

0.00307

Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2