BDU:2024-10934

Уязвимость класса FormLoginAuthenticator программной платформы для разработки и управления веб-приложениями Symfony, позволяющая нарушителю обойти процедуру аутентификации и вызвать отказ в обслуживании

Опубликовано: 2024-12-10

Описание

Уязвимость класса FormLoginAuthenticator программной платформы для разработки и управления веб-приложениями Symfony связана с игнорированием пустого поля имени пользователя или пароля при выполнении процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти процедуру аутентификации и вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Symfony (до 7.1.0)

Способ устранения

Использование рекомендаций:
https://github.com/symfony/symfony/commit/a804ca15fcad279d7727b91d12a667fd5b925995
https://github.com/symfony/symfony/pull/59079
https://github.com/symfony/symfony/commit/d5919dd72ac694cca8e3d5d828f0cb894c981fe6

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://vuldb.com/?id.286450 https://gist.github.com/1047524396/3581425e0911b716cf8ce4fa30e41e6c https://github.com/github/advisory-database/pull/5046 https://github.com/symfony/symfony/blob/v7.0.7/src/Symfony/Component/Security/Http/Authenticator/FormLoginAuthenticator.php#L132 https://github.com/symfony/symfony/commit/a804ca15fcad279d7727b91d12a667fd5b925995 https://github.com/symfony/symfony/issues/59077#issuecomment-2513935018 https://github.com/symfony/security-http/blob/7.2/Authenticator/FormLoginAuthenticator.php https://github.com/symfony/symfony/pull/59079

Проверьте безопасность своего сайта и почты → Полная проверка домена