PT-2024-40474 · Symfony · Symfony2
Publicado
2024-05-30
·
Atualizado
2024-05-30
Nenhuma
Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do software vulnerável e versões afetadas
Versões do Symfony2 anteriores à introdução da correção
Descrição
O problema surge quando uma aplicação depende do endereço IP do cliente retornado pelo método
Request::getClientIp() para tomar decisões críticas, como o controle de acesso baseado em IP. Isso pode ser explorado devido ao modo de proxy de confiança. O número estimado de dispositivos potencialmente afetados não foi especificado. Não há informações sobre incidentes reais em que esse problema tenha sido explorado.Os detalhes técnicos incluem o uso do método
Request::getClientIp() e do método Request::trustProxyData(), que foi descontinuado em favor do Request::setTrustedProxies(). O método Request::setTrustedProxies() recebe como argumento uma matriz de endereços IP de proxies confiáveis.Recomendações
Para todas as versões do Symfony 2, atualize para a versão mais recente o mais rápido possível.
Como alternativa, aplique os patches fornecidos:
-
Para o Symfony 2.0.19, aplique o patch disponível em https://github.com/symfony/symfony/compare/fc89d6b...9ce892c.patch
-
Para o Symfony 2.1.4, aplique o patch disponível em https://github.com/symfony/symfony/compare/922c201...e5536f0.patch
Como solução temporária, considere usar o método
Request::setTrustedProxies() em vez de Request::trustProxyData() para ativar o modo de proxy confiável. Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Symfony2