Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-01057

Опубликовано: 02 фев. 2023
Источник: fstec
CVSS3: 6.3
CVSS2: 7.5
EPSS Низкий

Описание

Уязвимость программной платформы для разработки и управления веб-приложениями Symfony связана с некорректным управлением сеансом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, осуществить CSRF-атаку

Вендор

Сообщество свободного программного обеспечения
ООО «Ред Софт»
ООО «РусБИТех-Астра»
SensioLabs, symfony community
АО "НППКТ"

Наименование ПО

Debian GNU/Linux
РЕД ОС
Astra Linux Special Edition
Symfony
ОСОН ОСнова Оnyx

Версия ПО

10 (Debian GNU/Linux)
11 (Debian GNU/Linux)
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
от 2.0.0 до 4.4.50 (Symfony)
от 5.0.0 до 5.4.20 (Symfony)
от 6.0.0 до 6.0.20 (Symfony)
от 6.1.0 до 6.1.12 (Symfony)
от 6.2.0 до 6.2.6 (Symfony)
до 2.9 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10
Сообщество свободного программного обеспечения Debian GNU/Linux 11
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО "НППКТ" ОСОН ОСнова Оnyx до 2.9

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Symfony:
https://github.com/symfony/symfony/security/advisories/GHSA-3gv2-29qc-v67m
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-24895
Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0630SE17MD
Для ОС Astra Linux Special Edition для архитектуры ARM 4.7:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0907SE47
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения symfony до версии 3.4.22+dfsg-2+deb10u3
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 2%
0.00015
Низкий

6.3 Medium

CVSS3

7.5 High

CVSS2

Связанные уязвимости

CVSS3: 9.8
redos
11 месяцев назад

Множественные уязвимости php-symfony4

CVSS3: 6.3
ubuntu
больше 2 лет назад

Symfony is a PHP framework for web and console applications and a set of reusable PHP components. When authenticating users Symfony by default regenerates the session ID upon login, but preserves the rest of session attributes. Because this does not clear CSRF tokens upon login, this might enables same-site attackers to bypass the CSRF protection mechanism by performing an attack similar to a session-fixation. This issue has been fixed in the 4.4 branch.

CVSS3: 6.3
nvd
больше 2 лет назад

Symfony is a PHP framework for web and console applications and a set of reusable PHP components. When authenticating users Symfony by default regenerates the session ID upon login, but preserves the rest of session attributes. Because this does not clear CSRF tokens upon login, this might enables same-site attackers to bypass the CSRF protection mechanism by performing an attack similar to a session-fixation. This issue has been fixed in the 4.4 branch.

CVSS3: 6.3
debian
больше 2 лет назад

Symfony is a PHP framework for web and console applications and a set ...

CVSS3: 6.3
github
больше 2 лет назад

Symfony vulnerable to Session Fixation of CSRF tokens

EPSS

Процентиль: 2%
0.00015
Низкий

6.3 Medium

CVSS3

7.5 High

CVSS2