请求类中的不安全方法

影响版本

2.0所有。2.1 X。2.2 X。2.3 X。2.4 X。2.5 X。X和2.6。Symfony HttpFounda欧宝娱乐app下载地址tion组件的X版本受此安全问题影响。

此问题已在Symfony 2.3.27、2.5.11和2.欧宝娱乐app下载地址6.6中修复。注意，没有为Symfony 2.0、2.1、2.2和2.4提供修复，因为欧宝娱乐app下载地址它们不再被维护。

描述

的欧宝娱乐app下载地址Symfony \ HttpFoundation \ \组件请求类提供了一种机制，确保它不信任来自“不受信任”客户端的HTTP头值。不幸的是，如果请求中至少涉及一个可信代理，则它假定远程地址始终是可信客户端;这允许在最新可信代理和web服务器之间进行中间人攻击。

影响以下方法:getPort ()，isSecure (),getHost (),getClientIps ()．

决议

所有受影响的方法现在都检查远程地址是否受信任，从而修复了该问题。

针对此问题的补丁已经可用在这里．

学分

我要感谢Dmitrii Chekaliuk报告这个安全问题和James Gilliland提供修复。