PT-2024-9246 · Symfony+1 · Symfony+1

Markuspoerschke · Publicado 2024-02-07 · Atualizado 2024-12-03 · CVE-2024-36611

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas:

Symfony versão 7.07

Descrição:

Foi identificada uma falha de segurança no componente FormLoginAuthenticator do Symfony, que não tratava adequadamente os casos em que os campos username ou password de uma solicitação de login estavam vazios. Essa falha poderia levar a vários riscos de segurança, incluindo o tratamento inadequado da lógica de autenticação ou negação de serviço. No entanto, o fornecedor concluiu que este relatório é falso.

Recomendações:

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

DoS

Incorrect Authorization

Improper Authentication

Enumeração de Fraquezas

CWE-863

CWE-287

Identificadores relacionados

BDU:2024-10934

CVE-2024-36611

GHSA-7Q22-X757-CMGC

Produtos afetados

Debian

Symfony

Referências · 21

• https://github.com/symfony/symfony/issues/59077#issuecomment-2513935018 · Nota
• https://github.com/symfony/symfony/commit/a804ca15fcad279d7727b91d12a667fd5b925995 · Nota
• https://github.com/symfony/symfony/blob/v7.0.7/src/Symfony/Component/Security/Http/Authenticator/FormLoginAuthenticator.php#L132 · Nota
• https://github.com/symfony/symfony/pull/59079 · Nota
• https://github.com/github/advisory-database/pull/5046 · Nota
• https://github.com/symfony/security-http/blob/7.2/Authenticator/FormLoginAuthenticator.php · Nota
• https://ubuntu.com/security/CVE-2024-36611 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-36611 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2024-36611 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1862816309177647404 · Publicação no Twitter
• https://github.com/advisories/GHSA-7q22-x757-cmgc · Nota
• https://twitter.com/CVEnew/status/1862570791193268360 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-36611 · Nota de Segurança
• https://gist.github.com/1047524396/3581425e0911b716cf8ce4fa30e41e6c · Nota
• https://cve.org/CVERecord?id=CVE-2024-36611 · Nota de Segurança