Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Symfony」にコードインジェクションの脆弱性 - 修正版が公開

オープンソースのウェブアプリケーションフレームワーク「Symfony」にコードインジェクションの脆弱性「CVE-2015-2308」が含まれていることがわかった。

脆弱性情報のポータルサイトであるJVNによれば、「Symfony」を使用するアプリケーションにおいて、「HttpCacheクラス」を利用してリバースプロキシを構築し、その際に「ESIサポート」を有効化している場合、任意のPHPコードを実行されるおそれがあるという。

脆弱性は「同2.0」以降に存在しており、修正版として「同2.6.6」「同2.5.11」「同2.3.27」が提供されている。

同脆弱性は、三井物産セキュアディレクションの寺田健氏が情報処理推進機構(IPA)へ報告したもので、JPCERTコーディネーションセンターが調整を実施した。

(Security NEXT - 2015/06/23 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Flask App Builder」に脆弱性 - 「OpenID 2.0」使用時に影響
「Google Pixel」や「SureLine OS」の脆弱性悪用に注意喚起 - 米当局
「Django」にDoS攻撃受けるおそれ - アップデートで対処
macOS版「Evernote」にRCE脆弱性 - 「Electronアプリ」の問題に起因
ウェブフレームワーク「Laravel」の既知脆弱性、攻撃の標的に
「Apache InLong」に複数の脆弱性 - アップデートを
「Apache Dubbo」に複数の脆弱性 - 最新版へ更新を
「生成AI」の出力コードに過信は禁物 - 安全性の確認を
「Apache StreamPark」に複数脆弱性 - アップデートで修正
「Apache Struts」にアップデート - 「クリティカル」の脆弱性に対応