安全版本(CVE-2014-4931): Symfony 2.3.18欧宝娱乐app下载地址、2.4.8和2.5.2已发布

影响版本

2.0所有。2.1 X。2.2 X。2.3 X。2.4 X。X和2.5。来自Symfony全栈框架的X版本FrameworkBundle受到此问题的影响。欧宝娱乐app下载地址转换器组件本身并不容易受到攻击。

描述

调查问题时# 11093，杰里米Derusse发现Symfony在FrameworkBundle中实现翻译缓存的方式存在严重的代码注入问题。欧宝娱乐app下载地址

您的Sym欧宝娱乐app下载地址fony应用程序是脆弱的，如果您满足以下条件:

• 您正在使用来自FrameworkBu欧宝娱乐app下载地址ndle的Symfony翻译系统(所以基本上如果您正在使用Symfony全栈—例如，如果您在使用Silex的翻译组件，则不会受到影响);
• 您不会清除来自URL的区域设置(任何带有_locale例如，参数):

当受到攻击时，攻击者可以提交一个无效的区域设置值，该值可能包含一些将由Symfony执行的PHP代码。欧宝娱乐app下载地址这是因为区域设置值被转储到在缓存中生成的PHP文件中，而没有首先进行清理。

决议

此补丁通过拒绝包含区域设置有效字符范围之外的字符来解决该问题。欧宝娱乐app下载地址Symfony不验证区域设置，因为任何人可以创建任何区域设置名称。因此，这个补丁在不破坏BC的情况下使一切都变得安全(除非开发人员使用带有“奇怪”字符的locale，但我怀疑它是否普遍)。

您需要根据您的项目使用的分支将Symfo欧宝娱乐app下载地址ny升级到最新版本，或者您可以应用以下补丁:https://github.com/欧宝娱乐app下载地址symfony/symfony/commit/06a80fbdbe744ad6f3010479ba64ef5cf35dd 9 af.patch

学分

我要感谢杰里米Derusse用于报告此安全问题并提供补丁。