Firewall configured with unanimous strategy was not actually unanimous in Symfony
Description
On Symfony before 4.4.0, when a Firewall checks an access control rule (using the unanimous strategy), it iterates over all rule attributes and grant access only if all calls to the accessDecisionManager decide to grant access.
As of Symfony 4.4.0, a bug was introduced that prevents the check of attributes as soon as accessDecisionManager decide to grant access on one attribute.
Resolution
The accessDecisionManager is now called with all attributes at once, allowing the unanimous strategy being applied on each attribute.
The patch for this issue is available here for the 4.4 branch.
Credits
I would like to thank Antonio J. García Lagar for reporting & Robin Chalas for fixing the issue.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka Composer | symfony/security | >= 4.4.0, < 4.4.7, >= 5.0.0, < 5.0.7 | 4.4.7, 5.0.7 |
| Paczka Composer | symfony/security-http | >= 4.4.0, < 4.4.7, >= 5.0.0, < 5.0.7 | 4.4.7, 5.0.7 |
| Paczka Composer | symfony/symfony | >= 4.4.0, < 4.4.7, >= 5.0.0, < 5.0.7 | 4.4.7, 5.0.7 |
Odnośniki
- https://github.com/symfony/symfony/security/advisories/GHSA-g4m9-5hpf-hx72
- https://nvd.nist.gov/vuln/detail/CVE-2020-5275
- https://github.com/symfony/symfony/commit/c935e4a3fba6cc2ab463a6ca382858068d63cebf
- https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/security-http/CVE-2020-5275.yaml
- https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/security/CVE-2020-5275.yaml
- https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2020-5275.yaml
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/C36JLPHUPKDFAX6D5WYFC4ALO2K7RDUQ
- https://symfony.com/cve-2020-5275
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N- Słabość (CWE)
CWE-285- Platforma
- Composer
- Paczka
symfony/security, symfony/security-http, symfony/symfony- Ujawniono
- 30.03.2020
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-g4m9-5hpf-hx72 - CC BY 4.0
Historia podatności: symfony/security
Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 17
- Pierwsza → ostatnia
- 02.2020 05.2022
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 3
- Wysoka 7
- Średnia 6
- Niska 1
Ujawnienia w latach
- 2020: 2
- 2021: 1
- 2022: 14
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 0
-
Firewall configured with unanimous strategy was not actually unanimous in Symfony ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.