Symfony HTTP Foundation web cache poisoning
An issue was discovered in Http Foundation in Symfony 2.7.0 through 2.7.48, 2.8.0 through 2.8.43, 3.3.0 through 3.3.17, 3.4.0 through 3.4.13, 4.0.0 through 4.0.13, and 4.1.0 through 4.1.2. It arises from support for a (legacy) IIS header that lets users override the path in the request URL via the X-Original-URL or X-Rewrite-URL HTTP request header. These headers are designed for IIS support, but it's not verified that the server is in fact running IIS, which means anybody who can send these requests to an application can trigger this. This affects \Symfony\Component\HttpFoundation\Request::prepareRequestUri() where X-Original-URL and X_REWRITE_URL are both used. The fix drops support for these methods so that they cannot be used as attack vectors such as web cache poisoning.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka Composer | symfony/http-foundation | >= 2.7.0, < 2.7.49, >= 2.8.0, < 2.8.44, >= 3.0.0, < 3.3.18, >= 3.4.0, < 3.4.14, >= 4.0.0, < 4.0.14, >= 4.1.0, < 4.1.3 | 2.7.49, 2.8.44, 3.3.18, 3.4.14, 4.0.14, 4.1.3 |
| Paczka Composer | symfony/symfony | >= 2.7.0, < 2.7.49, >= 2.8.0, < 2.8.44, >= 3.0.0, < 3.3.18, >= 3.4.0, < 3.4.14, >= 4.0.0, < 4.0.14, >= 4.1.0, < 4.1.3 | 2.7.49, 2.8.44, 3.3.18, 3.4.14, 4.0.14, 4.1.3 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2018-14773
- https://github.com/symfony/symfony/commit/e447e8b92148ddb3d1956b96638600ec95e08f6b
- https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/http-foundation/CVE-2018-14773.yaml
- https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2018-14773.yaml
- https://lists.debian.org/debian-lts-announce/2019/03/msg00009.html
- https://seclists.org/bugtraq/2019/May/21
- https://symfony.com/blog/cve-2018-14773-remove-support-for-legacy-and-risky-http-headers
- https://www.debian.org/security/2019/dsa-4441
- https://www.drupal.org/SA-CORE-2018-005
- http://www.securityfocus.com/bid/104943
- http://www.securitytracker.com/id/1041405
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N- Słabość (CWE)
CWE-349- Platforma
- Composer
- Paczka
symfony/http-foundation, symfony/symfony- Ujawniono
- 13.05.2022
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-8wgj-6wx8-h5hq - CC BY 4.0
Historia podatności: symfony/http-foundation
Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 14
- Pierwsza → ostatnia
- 12.2019 06.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 1
- Wysoka 3
- Średnia 8
- Niska 2
Ujawnienia w latach
- 2019: 2
- 2020: 1
- 2021: 0
- 2022: 4
- 2023: 0
- 2024: 5
- 2025: 1
- 2026: 1
-
Symfony HTTP Foundation web cache poisoning ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.