「Symfony」にコードインジェクションの脆弱性 - 修正版が公開

オープンソースのウェブアプリケーションフレームワーク「Symfony」にコードインジェクションの脆弱性「CVE-2015-2308」が含まれていることがわかった。

脆弱性情報のポータルサイトであるJVNによれば、「Symfony」を使用するアプリケーションにおいて、「HttpCacheクラス」を利用してリバースプロキシを構築し、その際に「ESIサポート」を有効化している場合、任意のPHPコードを実行されるおそれがあるという。

脆弱性は「同2.0」以降に存在しており、修正版として「同2.6.6」「同2.5.11」「同2.3.27」が提供されている。

同脆弱性は、三井物産セキュアディレクションの寺田健氏が情報処理推進機構（IPA）へ報告したもので、JPCERTコーディネーションセンターが調整を実施した。

（Security NEXT - 2015/06/23 ） ツイート

PR

関連記事

LLM向け開発フレームワーク「Langroid」に脆弱性 - 公開アプリで影響大
ブラウザドライバ管理ツール「WebDriverManager」にXXE脆弱性
「Auth0」のSDKに脆弱性 - 各プラットフォーム向けにアップデート
IDと公開鍵を紐づける「OpenPubkey」に署名検証バイパスのおそれ
米政府、GW期間中に悪用確認脆弱性10件を追加
「ConnectWise ScreenConnect」に脆弱性 - 修正版が公開
NVIDIAのAI開発フレームワーク「NeMo」に3件の脆弱性
「Spring Security」にタイミング攻撃対策が回避される脆弱性
Kubernetes向けワークフロー自動化ツール「Argo Events」に深刻な脆弱性
PHPフレームワーク「Yii2」に深刻な脆弱性 - 2月以降悪用も