PT-2021-23230 · Symfony+2 · Symfony+2

Jderusse · Publicado 2021-11-24 · Atualizado 2024-03-06 · CVE-2021-41270

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Symfony 4.1.0 a 4.4.34

Versões do Symfony 5.0.0 a 5.3.11

Descrição

A injeção CSV, também conhecida como injeção de fórmula, ocorre quando sites incorporam entradas não confiáveis dentro de arquivos CSV. Quando um programa de planilhas abre um CSV, qualquer célula que comece com = é interpretada pelo software como uma fórmula e pode ser explorada por um invasor. No Symfony, a opção csv escape formulas no CsvEncoder foi adicionada para prefixar todas as células que começam com =, +, - ou @ com uma tabulação t. No entanto, a OWASP adicionou mais dois caracteres a essa lista: Tabulação (0x09) e Retorno de carro (0x0D), tornando o caractere de prefixo anterior parte dos caracteres vulneráveis. A OWASP sugere o uso da aspa simples ' para prefixar o valor.

Recomendações

Para as versões 4.1.0 a 4.4.34 do Symfony, atualize para a versão 4.4.35 ou posterior.

Para as versões 5.0.0 a 5.3.11 do Symfony, atualize para a versão 5.3.12 ou posterior.

Como solução temporária, considere usar a aspa simples ' como prefixo nas fórmulas e adicione o prefixo às células que começam com t, r, bem como =, +, - e @.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-1236

Identificadores relacionados

BIT-SYMFONY-2021-41270

CVE-2021-41270

GHSA-2XHG-W2G5-W95X

USN-5290-1

Produtos afetados

Linuxmint

Symfony

Ubuntu

Referências · 26

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/serializer/CVE-2021-41270.yaml · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2021-41270.yaml · Exploit
• https://github.com/symfony/symfony · Nota
• https://github.com/symfony/symfony/commit/3da6f2d45e7536ccb2a26f52fbaf340917e208a8 · Correção
• https://github.com/symfony/symfony/pull/44243 · Correção
• https://github.com/symfony/symfony/security/advisories/GHSA-2xhg-w2g5-w95x · Correção
• https://github.com/symfony/symfony/releases/tag/v5.3.12 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-41270 · Aviso do Fabricante
• https://osv.dev/vulnerability/USN-5290-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-41270 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-symfony-2021-41270 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QSREFD2TJT5LWKM6S4MD3W26NQQ5WJUP · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-41270 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2021-41270 · Nota de Segurança
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/3BPT4SF6SIXFMZARDWED5T32J7JEH3EP · Aviso do Fabricante