「Symfony」にコードインジェクションの脆弱性 - 修正版が公開

オープンソースのウェブアプリケーションフレームワーク「Symfony」にコードインジェクションの脆弱性「CVE-2015-2308」が含まれていることがわかった。

脆弱性情報のポータルサイトであるJVNによれば、「Symfony」を使用するアプリケーションにおいて、「HttpCacheクラス」を利用してリバースプロキシを構築し、その際に「ESIサポート」を有効化している場合、任意のPHPコードを実行されるおそれがあるという。

脆弱性は「同2.0」以降に存在しており、修正版として「同2.6.6」「同2.5.11」「同2.3.27」が提供されている。

同脆弱性は、三井物産セキュアディレクションの寺田健氏が情報処理推進機構（IPA）へ報告したもので、JPCERTコーディネーションセンターが調整を実施した。

（Security NEXT - 2015/06/23 ） ツイート

PR

関連記事

米当局、SonicWallやJFrog関連の既知脆弱性7件について悪用を警告
GitLab、セキュリティアップデートで脆弱性7件を解消
「Next.js」に複数の深刻な脆弱性 - リリース予定を前倒し
「Apache Struts」にDoS脆弱性 - メモリ枯渇のおそれ
米当局、AIフレームワーク「Ray」の脆弱性悪用を警告
「Django」に4件の脆弱性 - セキュリティアップデートを公開
「Ruby on Rails」に深刻な脆弱性「KindaRails2Shell」
「Django」にセキュリティ更新 - 複数の脆弱性に対応
SnowflakeのPython向け開発フレームワークに脆弱性
ブラウザ「Chrome」にアップデート - 脆弱性27件を修正