PT-2021-23228 · Symfony · Symfony Httpkernel

Soner Sayakci · Publicado 2021-11-24 · Atualizado 2024-03-06 · CVE-2021-41267

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Symfony/Http-Kernel, versões 5.2 a 5.3.11

Descrição

O problema decorre da acessibilidade do cabeçalho X-Forwarded-Prefix em sub-solicitações, mesmo quando ele não faz parte da lista de cabeçalhos permitidos “trusted headers”. Isso permite que um invasor falsifique solicitações contendo o cabeçalho X-Forwarded-Prefix, levando a um problema de envenenamento de cache da web. A vulnerabilidade pode ser explorada quando um aplicativo Symfony está sendo executado atrás de um proxy ou de um balanceador de carga.

Recomendações

Para as versões 5.2 a 5.3.11 do Symfony/Http-Kernel, atualize para a versão 5.3.12 ou posterior para garantir que o cabeçalho X-Forwarded-Prefix não seja encaminhado para sub-solicitações quando não for confiável. Como solução temporária, considere restringir o acesso ao cabeçalho X-Forwarded-Prefix em sub-solicitações para minimizar o risco de exploração.

Exploit

Correção

HTTP Request/Response Smuggling

Enumeração de Fraquezas

CWE-444

Identificadores relacionados

BIT-SYMFONY-2021-41267

CVE-2021-41267

GHSA-Q3J3-W37X-HQ2Q

Produtos afetados

Symfony Httpkernel

Referências · 17

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2021-41267.yaml · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/http-kernel/CVE-2021-41267.yaml · Exploit
• https://github.com/symfony/symfony/security/advisories/GHSA-q3j3-w37x-hq2q · Correção
• https://github.com/symfony/symfony/pull/44243 · Correção
• https://github.com/symfony/symfony/commit/95dcf51682029e89450aee86267e3d553aa7c487 · Correção
• https://github.com/symfony/symfony/releases/tag/v5.3.12 · Nota
• https://osv.dev/vulnerability/BIT-symfony-2021-41267 · Aviso do Fabricante
• https://t.me/cvenotify/23981 · Publicação no Telegram
• https://t.me/cibsecurity/32974 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-41267 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-q3j3-w37x-hq2q · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-41267 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-41267 · Aviso do Fabricante
• https://symfony.com/cve-2021-41267 · Nota
• https://t.me/cvenotify/23744 · Publicação no Telegram