PT-2020-18316 · Sylius · Syliusresourcebundle

Pamil · Publicado 2020-01-27 · Atualizado 2020-02-04 · CVE-2020-5220

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.0

Média

Vetor base

AV:N/AC:L/Au:N/C:P/I:N/A:N

Nome do software vulnerável e versões afetadas

Sylius ResourceBundle versões anteriores à 1.3.13

Sylius ResourceBundle versões 1.3.0 a 1.3.12

Sylius ResourceBundle versões 1.4.0 a 1.4.5

Versões 1.5.0 do Sylius ResourceBundle

Versões 1.6.0 a 1.6.2 do Sylius ResourceBundle

Descrição

O problema decorre do fato de o Sylius ResourceBundle aceitar e utilizar quaisquer grupos de serialização passados por meio de um cabeçalho HTTP, o que pode levar à exposição de dados ao usar um grupo de serialização não pretendido. Por exemplo, isso poderia fazer com que a API da Loja utilizasse um grupo mais permissivo da API de Administração. Qualquer pessoa que exponha uma API com o controlador do ResourceBundle é afetada. A vulnerabilidade também envolve a capacidade de alternar canais por meio do parâmetro GET channel code em ambientes de produção devido a um problema de configuração.

Recomendações

Para as versões do Sylius ResourceBundle anteriores à 1.3.13, atualize para a versão 1.3.13 ou mais recente.

Para as versões do Sylius ResourceBundle de 1.3.0 a 1.3.12, atualize para a versão 1.3.13 ou mais recente.

Para as versões do Sylius ResourceBundle de 1.4.0 a 1.4.5, atualize para a versão 1.4.6 ou mais recente.

Para a versão 1.5.0 do Sylius ResourceBundle, atualize para a versão 1.5.1 ou mais recente.

Para as versões 1.6.0 a 1.6.2 do Sylius ResourceBundle, atualize para a versão 1.6.3 ou mais recente.

Como solução alternativa temporária para versões não suportadas, considere adicionar a configuração sylius channel: debug: false para impedir que o recurso de depuração seja ativado.

Serviço `sylius.resource controller.request configuration fact

Exploit

Correção

HTTP Request/Response Smuggling

Information Disclosure

Enumeração de Fraquezas

CWE-444

CWE-200

Identificadores relacionados

CVE-2020-5220

GHSA-8VP7-J5CJ-VVM2

GHSA-PRG5-HG25-8GRQ

Produtos afetados

Syliusresourcebundle

Referências · 10

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/sylius/resource-bundle/CVE-2020-5220.yaml · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/sylius/sylius/CVE-2020-5220.yaml · Exploit
• https://github.com/Sylius/Sylius/security/advisories/GHSA-prg5-hg25-8grq · Nota
• https://github.com/Sylius/SyliusResourceBundle/security/advisories/GHSA-8vp7-j5cj-vvm2 · Nota
• https://t.me/cvenotify/486 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-5220 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-8vp7-j5cj-vvm2 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-5218 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2020-5220 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-prg5-hg25-8grq · Aviso do Fabricante