Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2020-00720

Опубликовано: 06 дек. 2018
Источник: fstec
CVSS3: 6.1
CVSS2: 5.8
EPSS Низкий

Описание

Уязвимость поля ввода данных аутентификации «_failure_path» программной платформы для разработки и управления веб-приложениями Symfony связана с переадресацией на недоверенный сайт. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к информации или выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения
Fedora Project
ООО «РусБИТех-Астра»
SensioLabs, symfony community

Наименование ПО

Debian GNU/Linux
Fedora
Astra Linux Special Edition
Symfony

Версия ПО

9 (Debian GNU/Linux)
28 (Fedora)
1.6 «Смоленск» (Astra Linux Special Edition)
8.0 (Debian GNU/Linux)
от 2.7.0 до 2.7.50 (Symfony)
от 2.8.0 до 2.8.49 (Symfony)
от 3.0.0 до 3.4.20 (Symfony)
от 4.0.0 до 4.0.15 (Symfony)
от 4.1.0 до 4.1.9 (Symfony)
от 4.2.0 до 4.2.1 (Symfony)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
Fedora Project Fedora 28
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,8)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для symfony:
Обновление программного обеспечения до 3.4.22+dfsg-2 или более поздней версии
Для Debian:
Обновление программного обеспечения (пакета symfony) до 2.8.7+dfsg-1.3+deb9u2 или более поздней версии
Для Astra Linux:
https://wiki.astralinux.ru/pages/viewpage.action?pageId=57444186
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/4TD3E7FZIXLVFG3SMFJPDEKPZ26TJOW7/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JZMRJ7VTHCY5AZK24G4QGX36RLUDTDKE/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/OA4WVFN5FYPIXAPLWZI6N425JHHDSWAZ/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 64%
0.00474
Низкий

6.1 Medium

CVSS3

5.8 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.1
ubuntu
больше 6 лет назад

An open redirect was discovered in Symfony 2.7.x before 2.7.50, 2.8.x before 2.8.49, 3.x before 3.4.20, 4.0.x before 4.0.15, 4.1.x before 4.1.9 and 4.2.x before 4.2.1. By using backslashes in the `_failure_path` input field of login forms, an attacker can work around the redirection target restrictions and effectively redirect the user to any domain after login.

CVSS3: 6.1
nvd
больше 6 лет назад

An open redirect was discovered in Symfony 2.7.x before 2.7.50, 2.8.x before 2.8.49, 3.x before 3.4.20, 4.0.x before 4.0.15, 4.1.x before 4.1.9 and 4.2.x before 4.2.1. By using backslashes in the `_failure_path` input field of login forms, an attacker can work around the redirection target restrictions and effectively redirect the user to any domain after login.

CVSS3: 6.1
debian
больше 6 лет назад

An open redirect was discovered in Symfony 2.7.x before 2.7.50, 2.8.x ...

CVSS3: 6.1
github
около 3 лет назад

Symfony Open Redirect

EPSS

Процентиль: 64%
0.00474
Низкий

6.1 Medium

CVSS3

5.8 Medium

CVSS2