USN-7272-1: Sicherheitslücken in Symfony

USN-7272-1: Sicherheitslücken in Symfony
18. Februar 2025

Mehrere Sicherheitsprobleme wurden in Symfony behoben.

Releases
Ubuntu 24.04 LTS Ubuntu 22.04 LTS Ubuntu 20.04 LTS

Pakete
symfony - Satz von wiederverwendbaren Komponenten und Framework für Webprojekte

Details
Soner Sayakci entdeckte, dass Symfony die Speicherung von Cookies im
Web-Cache behandelt. Ein Angreifer könnte dieses Problem möglicherweise ausnutzen, um an
Informationen zu erlangen und auf nicht autorisierte Ressourcen zuzugreifen. (CVE-2022-24894)

Marco Squarcina entdeckte, dass Symfony die Speicherung von
Benutzer-Sitzungsinformationen falsch behandelt. Ein Angreifer könnte dieses Problem möglicherweise ausnutzen, um
einen Cross-Site-Request-Forgery (CSRF)-Angriff durchführen. (CVE-2022-24895)

Pierre Rudloff entdeckte, dass Symfony HTML-Eingaben falsch überprüft. Ein
Angreifer könnte dieses Problem möglicherweise nutzen, um Cross-Site-Scripting durchzuführen.
(CVE-2023-46734)

Vladimir Dusheyko entdeckte, dass Symfony spezielle
Eingaben mit einer PHP-Direktive in URL-Abfrage-Strings nicht korrekt bereinigt. Ein Angreifer könnte möglicherweise
Angreifer könnte dieses Problem ausnutzen, um vertrauliche Informationen preiszugeben oder einen
Dienstes verursachen. Dieses Problem betrifft nur Ubuntu 24.04 LTS und Ubuntu 22.04 LTS.
(CVE-2024-50340)

Oleg Andreyev, Antoine Makdessi, und Moritz Rauch entdeckten, dass Symfony
die Benutzerauthentifizierung nicht korrekt handhabt. Ein Angreifer könnte möglicherweise
Angreifer dieses Problem nutzen, um auf nicht autorisierte Ressourcen zu
Informationen preisgeben. Dieses Problem wurde nur in Ubuntu 24.04 LTS behoben.
(CVE-2024-50341, CVE-2024-51996)

Linus Karlsson und Chris Smith entdeckten, dass Symfony interne
Host-Informationen während der Host-Auflösung zurückgibt. Ein Angreifer könnte dieses Problem möglicherweise ausnutzen
Angreifer dieses Problem nutzen, um sensible Informationen zu erhalten. Dieses Problem betraf nur Ubuntu
24.04 LTS und Ubuntu 22.04 LTS. (CVE-2024-50342)

Es wurde entdeckt, dass Symfony Benutzereingaben durch reguläre Ausdrücke falsch
reguläre Ausdrücke. Ein Angreifer könnte dieses Problem möglicherweise ausnutzen, um
sensiblen Informationen. (CVE-2024-50343)

Sam Mush entdeckte, dass Symfony URIs mit Sonderzeichen falsch parst.
Zeichen parst. Ein Angreifer könnte dieses Problem möglicherweise nutzen, um Phishing
Angriffe durchführen. (CVE-2024-50345)

Anweisungen zur Aktualisierung
Das Problem kann behoben werden, indem Sie Ihr System auf die folgenden Paketversionen aktualisieren:

Ubuntu 24.04

• php-symfony - 6.4.5+dfsg-3ubuntu3+esm1
  Ubuntu 22.04
• php-symfony - 5.4.4+dfsg-1ubuntu8+esm1
  Ubuntu 20.04
• php-symfony - 4.3.8+dfsg-1ubuntu1+esm2
  Im Allgemeinen wird ein Standard-System-Update alle notwendigen Änderungen vornehmen.