PT-2024-8444 · Symphony+4 · Symphony+4

M0Xr4 · Publicado 2024-11-04 · Atualizado 2025-02-18 · CVE-2024-51996

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Symphony anteriores à 5.4.47

Versões do Symphony anteriores à 6.4.15

Versões do Symphony anteriores à 7.1.8

Descrição

A vulnerabilidade está relacionada ao processo de autenticação no framework PHP Symphony. Ao utilizar um cookie “lembrar-me” persistente, o framework não verifica se o nome de usuário armazenado no banco de dados corresponde ao nome de usuário associado ao cookie, o que leva à contornamento da autenticação. Essa falha pode ser explorada por um invasor remoto para contornar restrições de segurança.

Recomendações

Para versões anteriores à 5.4.47, atualize para a versão 5.4.47 ou posterior.

Para versões anteriores à 6.4.15, atualize para a versão 6.4.15 ou posterior.

Para versões anteriores à 7.1.8, atualize para a versão 7.1.8 ou posterior.

Como solução temporária, considere desativar o uso de cookies “lembrar-me” até que um patch seja aplicado.

Restrinja o acesso à classe PersistentRememberMeHandler para minimizar o risco de exploração.

Exploit

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

CWE-289

Identificadores relacionados

BDU:2024-10003

CVE-2024-51996

DSA-5813-1

GHSA-CG23-QF8F-62RR

USN-7272-1

Produtos afetados

Astra Linux

Debian

Linuxmint

Symphony

Ubuntu

Referências · 34

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/51xxx/CVE-2024-51996.json · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2024-51996.yaml · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/security-http/CVE-2024-51996.yaml · Exploit
• https://github.com/symfony/symfony · Nota
• https://github.com/symfony/symfony/commit/81354d392c5f0b7a52bcbd729d6f82501e94135a · Nota
• https://github.com/symfony/symfony/security/advisories/GHSA-cg23-qf8f-62rr · Nota
• https://ubuntu.com/security/CVE-2024-50340 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-50343 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-50345 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2024-10003 · Nota de Segurança
• https://osv.dev/vulnerability/DSA-5813-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-51996 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2023-46734 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2024-51996 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2024-51996 · Nota de Segurança