PT-2022-6951 · Symfony · Symfony

Catalin Dan + 1 · Publicado 2022-02-01 · Atualizado 2024-03-06 · CVE-2022-23601

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.3

Alta

Vetor base

AV:N/AC:M/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Symfony anteriores às versões de correção listadas

Descrição

O problema está relacionado à autenticação insuficiente de solicitações executadas no framework Symfony, o que pode permitir que um invasor remoto realize um ataque CSRF. O componente de formulário do Symfony oferece um mecanismo de proteção contra CSRF por meio de um token aleatório inserido no formulário e armazenado na sessão. No entanto, devido a uma alteração recente no carregamento da configuração, o comportamento padrão de habilitar a proteção CSRF foi desativado, tornando as aplicações vulneráveis a ataques CSRF quando a proteção não está explicitamente habilitada.

Recomendações

Para versões do Symfony anteriores às versões de patch listadas, atualize para uma versão que inclua o patch para resolver o problema.

Como solução temporária, considere habilitar explicitamente o mecanismo de proteção CSRF na configuração para prevenir ataques CSRF.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

BDU:2023-05710

BIT-SYMFONY-2022-23601

CVE-2022-23601

GHSA-VVMR-8829-6WHX

Produtos afetados

Symfony

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/23xxx/CVE-2022-23601.json · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/framework-bundle/CVE-2022-23601.yaml · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2022-23601.yaml · Exploit
• https://github.com/symfony/symfony · Nota
• https://github.com/symfony/symfony/commit/f0ffb775febdf07e57117aabadac96fa37857f50 · Correção
• https://github.com/symfony/symfony/security/advisories/GHSA-vvmr-8829-6whx · Correção
• https://symfony.com/cve-2022-23601 · Nota
• https://bdu.fstec.ru/vul/2023-05710 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2022-23601 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-symfony-2022-23601 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-23601 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2022-23601 · Aviso do Fabricante
• https://t.me/cibsecurity/36626 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-vvmr-8829-6whx · Aviso do Fabricante