PT-2024-40336 · Symfony2 · Symfony2

Publicado 2024-05-30 · Atualizado 2024-05-30

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Symfony2 anteriores à versão corrigida

Descrição

Foi detectada uma falha de segurança no método Request::getClientIp() quando o modo de proxy confiável está ativado. Essa falha afeta aplicações que utilizam o endereço IP do cliente para decisões críticas, como o controle de acesso baseado em IP. O problema decorre da ativação do modo de proxy confiável, o que pode levar ao uso de endereços IP de cliente incorretos.

Recomendações

Para corrigir essa falha, use o novo método Request::setTrustedProxies() em vez de Request::trustProxyData() para ativar o modo de proxy confiável, passando uma matriz de endereços IP de proxies confiáveis como argumento. Por exemplo:

Request::setTrustedProxies(array(‘1.1.1.1’));

onde ‘1.1.1.1’ é o endereço IP de um proxy reverso confiável.

Aplique os patches fornecidos para o Symfony 2.0.19 ou Symfony 2.1.4 se uma atualização para a versão mais recente não for viável no momento.

Correção

Enumeração de Fraquezas

CWE-291

Identificadores relacionados

GHSA-HX53-JCHX-CR52

Produtos afetados

Symfony2

Referências · 6

• https://github.com/symfony/symfony · Nota
• https://github.com/symfony/symfony/commit/922c2015f61a7205180d423dce1f7365cc2d8460 · Nota
• https://github.com/symfony/symfony/commit/9ce892cf4395e73b136e9b5cd1fae9e91995c93b · Nota
• https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/2012-11-29.yaml · Nota
• https://osv.dev/vulnerability/GHSA-hx53-jchx-cr52 · Aviso do Fabricante
• https://symfony.com/blog/security-release-symfony-2-0-19-and-2-1-4 · Nota